auth digest ямар OpenVPN пакетуудыг хамгаалдаг вэ?
auth сонголт профайлаас харагдахаас бага хамрах хүрээтэй. Digest бодлого тогтоохоос өмнө сувгийг, AEAD тохиолдлыг болон хяналтын сувгийн хамгаалалтыг үзээрэй.
OpenVPN-ийн digest-ийн тухай маргаан ихэвчлэн буруу пакетаас эхэлдэг. auth SHA256 гэдгийг «зөвхөн SHA256 санал болгодог түншийг хүлээж ав» гэж унших нь хамгийн түрүүнд мартах ёстой зүйл юм. Сонголт тодорхой пакетуудад digest нэрлэдэг бөгөөд тэдгээр пакет аль нь болох нь сувгаас болон тухайн суваг AEAD эсэхээс хамаарна. Доорх дөрвөн асуултыг дарааллаар нь үзээрэй; тус бүр энэ тохиргоо таны байршуулалтад ямар утгатай байж болохыг нарийсгана.
Тохиргооны хамгаалах ёстой сувгийг нэрлээрэй
OpenVPN нь TLS гар барилтын урсгалыг зөөдөг хяналтын суваг болон туннелийн ачааг зөөдөг өгөгдлийн сувагтай. auth digest хоёуланд нь үүрэгтэй, гэхдээ ижил үүрэг биш, профайл ялгааг нь ховорхон харагдахуйц болгодог. Конфигурацийн файлд хүрэхээс өмнө хоёрын алийг нь хязгаарлахыг оролдож байгаагаа бичиж аваарай.
Доорх хүснэгт нь ижил сонголт контекст бүрт хэрхэн буухыг товчхон харуулсан болно.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Түүнд найдахаас өмнө өгөгдлийн суваг AEAD эсэхийг шалгаарай
Хэрэв тохиролцсон өгөгдлийн шифр AES-GCM эсвэл CHACHA20-POLY1305 бол өгөгдлийн суваг өөрийгөө баталгаажуулдаг бөгөөд тусдаа digest нь таны төсөөлж буй ажлыг хийдэггүй. Хоёулаа AEAD бүтэц тул бүрэн бүтэн байдал нь ачааг шифрлэдэг ижил үйлдлээр үүсдэг. Энэ нь түвшин бууралт биш, гэхдээ «өгөгдлийн пакет бүр HMAC-SHA256» гэж үндэслэсэн бодлого тэр туннель дээр бодитойгоор буруу гэсэн үг. Бодлогыг дахин бичихээс өмнө тохиролцсон утгыг серверийн лог эсвэл клиентийн төлөвийн гаралтаас баталгаажуулаарай.
Профайл дахь жагсаалтаас илүү бодитоор тохиролцсон шифрийг шалгаарай, учир нь хэлэлцээр олонлогийн өөр гишүүн дээр бууж болно. data-ciphers AES-256-GCM:AES-128-GCM нь хэлэлцээрийн жагсаалт бөгөөд хоёр бичлэг хоёулаа AEAD тул аль нь ч ачааны хамгаалалтад auth digest-ийг зарцуулдаггүй.
Хяналтын сувгийн хамгаалалтыг тусдаа шийдвэр гэж үзээрэй
tls-auth хяналтын сувгийн пакетуудад HMAC нэмж, digest-ээ auth тохиргооноос авдаг тул AEAD туннель дээр ч утга учиртай digest тохируулагдсан байж болно. tls-crypt нь өөрийн тогтмол хамгаалалттай өөр зохион байгуулалт тул tls-auth-ийн бүх шинжийг өвлөнө гэж бүү бодоорой. Таамаглалыг хооронд нь шилжүүлэхийн оронд сонгосон механизмынхаа баримт бичгийг уншаарай.
Хоёр түнш зохион байгуулалт болон түлхүүрийн чиглэлийн талаар ч санал нэгдэх ёстой. Тохирох digest боловч буруу чиглэлд хэрэглэсэн түлхүүрийн файл нь digest тохиргоо тайлбарлаж чадахгүй шалтгаанаар бүтэлгүйтдэг гар барилт үүсгэдэг.
auth-ыг шифрийн хэлэлцээр болон сертификатаас тусгаар байлгаарай
Гурван тохиргоо байнга холилддог: auth digest, өгөгдлийн шифрийн жагсаалт, сертификатын гарын үсгийн алгоритм. Эхнийхийг өөрчлөх нь сертификатыг дахин олгохгүй, түүний гарын үсгийн digest-ийг сонгохгүй, хэрэглэгчийн нэр-нууц үгийн аргыг үүсгэхгүй. Протоколын сонголтын тодорхойлолтууд OpenVPN 2.6-ийн эх сурвалжид тус бүрийг өөрийн хэсэгт тайлбарладаг нь эдгээр нь бие даасан тохируулга гэдгийг сануулдаг.
Digest өөрчлөгдсөний дараа түнш холбогдохоос татгалзвал шалтгаан нь ихэвчлэн үлдсэн хоёр тохиргооны аль нэг дэх зөрүү юм. Аль нэгийг нь өөрчлөхөөс өмнө хоёр талыг уншаарай.
Бодлогыг бичиж, ажиллаж буй конфигурацтай харьцуулаарай
Флотын түвшний мэдэгдэл зөвшөөрөгдсөн өгөгдлийн сувгийн горим болон сонгосон хяналтын сувгийн хамгаалалтыг нэг өгүүлбэрт тодорхой нэрлэх ёстой. Тэр өгүүлбэр шалгагдахуйц; «бид SHA256 ашигладаг» биш. Дараа нь түүнийг агуулах дахь загвартай биш, бодит сервер болон клиентийн профайлтай харьцуулаарай.
Туннель бүр бодитоор юу тохиролцож, ямар механизм түүний пакетыг баталгаажуулсныг бичиж дуусгаарай. Профайл дахь харагдах auth мөр нь конфигурацийн санааны нотолгоо төдий, санаа нь шалгалтын хамгийн хямд хэсэг юм.