Fajl DH jew ċavetta tls-auth? Kif tiddistingwi żewġ fajls OpenVPN

Żewġ fajls, żewġ direttivi, u d-drawwa li t-tnejn jissejħu għal dik il-ħaġa li jikkonfiguraw. Hekk dh.pem jispiċċa fuq linja tls-auth u l-klijent ifalli b’messaġġ dwar format ta’ ċavetta mhux mistenni. Id-deċiżjoni quddiemek mhix liema fajl huwa aktar b’saħħtu. Hija liema rwol l-implimentazzjoni tassew teħtieġ, u tliet kundizzjonijiet jiddeċiedu dan: liema skambju ta’ ċwievet se jinnegozja l-stack TLS tiegħek, jekk tridx awtentikazzjoni tal-kanal ta’ kontroll xejn, u jekk il-materjal għandux jibqa’ sigriet.

Wieġeb dawn fl-ordni u l-mistoqsija tal-fajl twieġeb lilha nnifisha. Aqbeżhom u l-ismijiet tad-direttivi jibdew jidhru interkambjabbli, u dan huwa eżattament l-istat li minnu ġej l-iżball.

Aqra t-tikketta qabel l-isem tal-fajl

L-ewwel linja tal-fajl tagħti aktar informazzjoni mill-isem tiegħu, għax isem hija konvenzjoni umana u t-tikketta hija prodotta mill-għodda. Il-parametri Diffie-Hellman iġorru tikketta PEM BEGIN DH PARAMETERS. Iċ-ċavetta statika ta’ OpenVPN hija struttura għal kollox differenti, bil-header u bil-payload esadeċimali tagħha stess.

Bidla fl-isem ma tikkonverti xejn. Fajl tal-parametri bl-isem ta.key għadu parametri, u ċavetta statika bl-isem dh.pem għadha ċavetta statika; il-parser jaqra l-kontenut u jirrifjuta d-diskrepanza. Iċċekkja qabel ma tedita l-profil:

head -n 1 dh.pem
head -n 1 ta.key

Tliet kundizzjonijiet li jiddeċiedu liema fajl għandek bżonn

L-ewwel kundizzjoni hija l-iskambju. Handshake Diffie-Hellman f’qasam finit jeħtieġ grupp, u d-direttiva dh hija fejn is-server isemmi l-parametri għalih. Handshake fuq kurva ellittika lanqas biss jeħtieġ dak il-fajl, għax il-kurva hija l-sett tal-parametri. Jekk is-server tiegħek jinnegozja biss suites ECDHE, fajl DH huwa piż mejjet minflok qawwa żejda.

It-tieni kundizzjoni hija l-awtentikazzjoni tal-kanal ta’ kontroll, funzjoni separata bil-materjal tagħha stess. Fajl tls-auth hija ċavetta statika maqsuma li żżomm iż-żewġ naħat, użata biex tiffirma l-pakketti tal-kanal ta’ kontroll sabiex naħa mhux awtentikata ma tkunx tista’ lanqas ttemm il-handshake. Din teżisti kemm jekk tuża DH f’qasam finit u kemm jekk le, u m’għandha x’taqsam xejn mal-parametri tal-grupp.

It-tielet kundizzjoni hija s-segretezza u d-distribuzzjoni. Il-parametri DH jistgħu jiġu ppubblikati mingħajr ma tissaħħaħ is-sessjoni, għax il-valuri sigrieti jiġu ġġenerati għal kull handshake u qatt ma jħallu n-naħat. Ċavetta statika m’għandhiex tiġi ppubblikata: huma l-istess bytes fiż-żewġ trufijiet, ma ddurx minnha nnifisha, u kull min għandha jista’ jipproduċi firem validi tal-kanal ta’ kontroll. Dawn iż-żewġ tweġibiet iwasslu għal regoli ta’ mmaniġġjar għal kollox differenti, u għalhekk fajl wieħed jista’ jkun f’repożitorju u l-ieħor le.

Iġġenera l-materjal it-tajjeb għal kull rwol

Uża l-għodda li tipproduċi l-format li tistenna d-direttiva minflok ma tikkonverti bejniethom. Għaċ-ċavetta maqsuma fuq OpenVPN 2.6, il-forma tipizzata tal-generatur tgħid l-iskop b’mod espliċitu.

openvpn --genkey tls-auth ta.key

Dak il-kmand joħloq materjal sigriet ġdid; ma jsewwix u lanqas ma jispezzjona ċavetta eżistenti, u jekk terġa’ taħdmu tagħtik ċavetta differenti li n-naħat l-oħra m’għandhomx. Ikkopja l-fajl li jirriżulta lin-naħat li għandhom bżonnu permezz ta’ kanal li tuża għal kwalunkwe sigriet maqsum, u żomm il-konvenzjoni tad-direzzjoni konsistenti: b’tls-auth, naħa waħda tuża key-direction 0 u l-oħra key-direction 1.

Il-parametri DH, meta jkollok bżonnhom, jiġu mill-ġenerazzjoni tal-parametri u mhux minn ġeneratur taċ-ċwievet, u l-oriġini tagħhom hija importanti anki meta l-output ikun pubbliku. Grupp meħud minn sors mhux magħruf ma jsirx affidabbli għax huwa pubbliku; xorta waħda għandu jkun grupp li n-naħat tiegħek jaqblu fuqu u wieħed li ma jiddgħajjifx bid-daqs jew bil-kostruzzjoni tiegħu.

X’jagħmel dh none u x’ma jagħmilx

dh none hija direttiva vera bi tifsira dejqa: l-ebda fajl tal-parametri ta’ qasam finit mhu se jiġi mgħobbi, għax il-handshake juża Diffie-Hellman fuq kurva ellittika. Mhix abbrevjazzjoni għal “aqbeż il-pass DH” fis-sens li tiddgħajjef xi ħaġa, u żgur mhux qed tgħid lil OpenVPN jaċċetta fajl ieħor bħala sostitut.

Minn qari ħażin joħorġu żewġ żbalji. L-ewwel huwa li wieħed jassumi li dh none jneħħi l-ħtieġa ta’ tls-auth, filwaqt li t-tnejn jikkontrollaw affarijiet differenti. It-tieni huwa li żżomm linja dh antika ħdejn konfigurazzjoni tal-kurva biss u mbagħad tistaqsi liema fajl is-server fil-fatt qed juża; jekk id-direttiva hemmhekk, il-fajl jinqara, u passaġġ miksur hemmhekk ifalli t-tnedija għal raġuni mhux relatata mal-iskambju li se jiġi nnegozjat.

Jekk il-fajl ħażin diġà ġie implimentat

Irrestawra s-sigriet maħsub mingħand is-sid tal-profil u tmissx il-verifika taċ-ċertifikat waqt li tkun qed tagħmel dan. Il-falliment huwa diskrepanza fil-format, mhux falliment ta’ fiduċja, u li tiddiżattiva l-verifika biex tgħaddi l-iżball jissostitwixxi problema tat-tnedija b’waħda siekta.

Imbagħad ifred iż-żewġ inċidenti li n-nies għandhom id-drawwa jgħaqqdu. Li tippubblika fajl tal-parametri DH huwa kważi bla ħsara, għax il-parametri kienu pubbliċi bid-disinn. Li tesponi ċ-ċavetta tls-auth huwa avveniment ieħor: iċ-ċavetta tawtentika l-pakketti tal-kanal ta’ kontroll għal kull naħa li għandha, għalhekk is-sostituzzjoni trid tiġi kkoordinata fl-implimentazzjoni kollha u mhux applikata fuq host wieħed.

Verifika ta’ ħames minuti tiddeċiedi f’liema każ tinsab: aqra l-ewwel linja ta’ kull fajl, ikkonferma d-direttiva li tirreferi għaliha, u kkonferma li d-distribuzzjoni tal-fajl taqbel ma’ dak li teħtieġ il-materjal. Dak huwa xogħol iżgħar milli terġa’ tiġġenera PKI li taħdem, u dan huwa dak li t-tliet kundizzjonijiet kienu qed jindikaw il-ħin kollu.