tls-auth ба tls-crypt: OpenVPN дэх тус бүр юуг хамгаалдаг

Хоёр сонголт ижил түлхүүрийн файл ашигладаг бөгөөд хоёулаа гар барилтын урсгалыг хуурахад хэцүү болгодог тул тэдгээрийг нэг функцийн хоёр нэр гэж үздэг. Тийм биш. Нэг нь хяналтын пакетуудад гарын үсэг зурдаг, нөгөө нь тэдгээрийг шифрлэдэг ч, аль нь ч таны ачааг хамгаалдаг шифртэй ямар ч холбоогүй.

Энэ ялгаа нь профайл холбогдож чадахгүй үед, аюулгүй байдлын шалгалт түлхүүр юуг хамгаалдаг гэж асуухад, мөн нэмэлт файл туннелийг ямар нэг тодорхойгүй байдлаар шифрлэдэг гэж хэн нэгэн таамаглахад чухал.

Хамтын түлхүүр бодит байдал дээр юуг хамгаалдаг

Эдгээр сонголтын ашигладаг түлхүүр нь хяналтын сувагт хамаарна: параметрүүдийг хэлэлцэж, таних тэмдгийг баталж, өгөгдлийн түлхүүрүүдийг гаргаж авдаг солилцоо. Энэ нь гар барилт үргэлжлэхийн өмнө хоёр төгсгөлд байх ёстой урьдчилан хуваалцсан нууц юм. Таних тэмдгийн шалгалтаас өмнө байрладаг тул буруу түлхүүр буруу нууц үгээс эрт яриаг зогсоодог. Энэ дараалал нь эвдрэлийн горим яагаад ийм чимээгүй байдгийг тайлбарладаг.

tls-auth энэ нууцыг хяналтын пакетууд дээр HMAC тооцоолоход ашигладаг. Хүчинтэй гарын үсэггүй пакет илүү үнэтэй TLS боловсруулалтад хүрэхээс өмнө хасагдана, тиймээс энэ сонголтыг TLS-ийн орлуулагч биш, эхний шүүлтүүр гэж тодорхойлдог.

tls-crypt улам хол явж, хамгаалагдсан хяналтын урсгалыг баталгаажуулахаас гадна шифрлэдэг. Гэрчилгээний агуулга, хэлэлцсэн шифрийн нэрс болон гар барилтын бусад дэлгэрэнгүй мэдээлэл сүлжээнд харагдахаа болино, түлхүүргүй ажиглагч ямар TLS хувилбар оролдож байгааг ч харж чадахгүй. Өөрийн VPN-ийн хээ илрэхээс айдаг байршуулалтын хувьд энэ шинж чанар нь түүнийг сонгох гол шалтгаан юм. Энэ нь бүлгийн нууц хэвээр байгаа бөгөөд хэрэглэгч тус бүрийн итгэмжлэл биш.

Ямар ч механизм таних тэмдэг олгодоггүй. Хамтын түлхүүр бол бүлгийн нууц бөгөөд түүнийг эзэмшсэн хэн ч шалгалтын тэр давхаргыг хангаж чадна.

Хоёр сонголт хаана ялгаатай вэ

Ажиглагдах ялгаа нь ажиглагч юу хардаг вэ гэдэг юм. tls-auth-тай үед гар барилт харагдана, гэхдээ түлхүүргүйгээр баталгаажуулах боломжгүй. tls-crypt-тай үед гар барилт түлхүүргүй хэнд ч тодорхойгүй.

Тохиргоо ч өөр. tls-auth чиглэлийн утгатай хэрэглэгддэг тул нэг тал түлхүүрийн материалын нэг хагасыг, нөгөө тал нөгөө хагасыг ашигладаг. tls-crypt хоёр чиглэлд нэг түлхүүр ашигладаг тул чиглэлийн заавар нь түүний бүтцэд орохгүй.

Орчин үеийн хувилбаруудад хоёр сонголт бие биенээ үгүйсгэдэг. Профайлд тэдгээрийн аль нэг нь байх ёстой, хоёулаа биш, сервер болон клиент ижил түлхүүрийн материалтайгаар алийг нь ашиглахаа тохиролцох ёстой. Хуучин зааврыг шинэ зааврын хажууд үлдээх нь шилжилтийн нийтлэг үлдэгдэл юм. Идэвхгүйг нь устгаснаар дараагийн уншигч аль давхарга үнэхээр хүчинтэйг мэдэх болно.

Илүү шинэ хувилбар болох tls-crypt-v2 нь клиент бүрийг өөрийн боосон түлхүүртэй холбодог тул нэг клиентийг цуцлахад бүлгийн түлхүүрийг дахин олгох шаардлагагүй. Үүнийг мэдэх нь зүйтэй ч энэ нь өөр сонголт бөгөөд энд байгаа хоёрын аль нэгний синоним биш.

Яагаад зөрүү нь юу ч болохгүй мэт харагддаг вэ

Хамтын материал таарахгүй үед нөгөө тал илгээгчид шалтгааныг хэлэхгүйгээр пакетуудыг хаядаг. Уншиж болох баталгаажуулалтын алдаа байхгүй, учир нь пакет түүнийг үүсгэх давхаргад хэзээ ч хүрээгүй.

Клиент дахин оролддог, сервер юу ч хэлэхгүй, шинж тэмдэг нь сүлжээний асуудал мэт харагдана. Дараа нь хүмүүс үйлчилгээг дахин эхлүүлэх, бүртгэлийн нууц үгийг дахин оруулах, эсвэл «турших» гэж хамгаалалтын зааврыг устгадаг нь оношлохын оронд байршуулалтыг өөрчилдөг.

Серверийн логт сүүлийн дахин оролдлогын мөрийг биш, пакетын түвшний эхний гомдлыг уншина уу. Хоёр тал ижил түлхүүрийн материалтай ижил сонголттой эсэх, түлхүүрийн файл зөвхөн нэг талд дахин үүсээгүй эсэхийг баталгаажуулна уу.

Зааврыг устгах нь аюулгүй засвар биш. Энэ нь клиент бүрийн хамгаалалтын давхаргыг унтрааж, дараа нь ажилладаг туннель нь тэр давхарга зөрүү байсан гэдгийг л нотолдог.

Одоо ч тусдаа тохируулах ёстой зүйл

Эдгээр сонголт нь нөгөө тал хэн болохыг шалгадаггүй. Гэрчилгээний баталгаажуулалт, итгэлийн зангуу, хүлээгдэж буй серверийн нэр нь тусдаа шаардлага хэвээр бай бөгөөд хамтын түлхүүр байгаа учраас тэдгээрийн аль нь ч заавал бус болдоггүй.

Тэд өгөгдлийн шифрийг ч сонгодоггүй. Энэ нь хоёр талын өгөгдлийн сувгийн тохиргоогоор удирдуулдаг тусдаа хэлэлцээр юм, мөн tls-crypt-оор хамгаалагдсан туннель ч таны санаагүй шифрийг ашиглаж болно.

Эцэст нь, хамтын түлхүүр өөрөө анхаарал шаарддаг. Түүнийг нууц гэж үзэж, зөвшөөрөгдсөн сувгаар тарааж, түүнийг эзэмшсэн хэн нэгэн гарвал солино уу. Түлхүүр хамтын учраас түүний илрэл нь түүнийг ашигладаг төгсгөл бүрийн илрэл юм.