Din iċ-ċavetta OpenVPN ippubblikata hija CA, ċavetta tal-pari jew tls-auth?

Xi ħadd jirrapporta li ċ-ċavetta VPN hija pubblika, u dik is-sentenza taħbi tliet sitwazzjonijiet kompletament differenti. Tista’ tkun ċertifikat CA li kull klijent għandu jkollu, ċavetta tal-identità privata li qatt ma kellha titlaq minn magna waħda, jew sigriet kondiviż tal-kanal tal-kontroll li ż-żewġ trufijiet iridu jżommu. It-tiswija, l-urġenza u l-firxa tal-ħsara jvarjaw f’kull każ, għalhekk l-ewwel xogħol huwa l-klassifikazzjoni, mhux l-azzjoni. Jekk il-kategorija tkun ħażina, kull pass wara huwa xogħol mitluf.

Ibda mid-direttiva, mhux mill-isem tal-fajl

Aqra l-konfigurazzjoni attiva u sib liema direttiva tindika l-materjal inkwistjoni. L-għażliet TLS ta’ OpenVPN jużaw ca għall-materjal taċ-ċertifikat affidabbli, cert għaċ-ċertifikat tal-pari lokali u key għaċ-ċavetta privata li tappartjeni lilu.

L-ismijiet tal-fajls ma jippruvaw xejn. Fajl bl-isem key.pem jista’ jkun fih ċertifikat, u blokk inkorporat fil-profil jista’ jkun fih eżattament l-istess oġġett bħal fajl separat fuq id-diska. Iftaħ il-fajl u ħares lejn l-intestatura tiegħu minflok ma tafda l-isem. Dik il-verifika waħda tneħħi l-biċċa l-kbira tal-ambigwità fir-rapport.

Jekk il-profil huwa pakkett PKCS#12, iftħu f’post ikkontrollat biex tara x’fih tassew. Pakkett wieħed jista’ jġorr ċertifikat, il-katina tiegħu u ċavetta privata, li jfisser li tnixxija tal-pakkett hija tnixxija tat-tlieta.

Ikteb il-klassifikazzjoni qabel ma xi ħadd ibiddel fajl: oġġett, direttiva, liema pari jżommuh u min jista’ jaqrah. Dik is-sentenza hija l-bażi tar-risposta kollha.

Ċertifikat CA huwa maħsub biex jiġi kondiviż

Ċertifikat CA pubbliku huwa materjal ta’ fiduċja. Il-klijenti jeħtieġuh biex jivverifikaw is-server, u t-tqassim tiegħu huwa l-każ normali, mhux inċident. Li tippubblikah ma tippubblikax iċ-ċavetta privata tal-firma tas-CA, u dak l-oġġett huwa eżattament dak li jippermetti lil attakkant joħloq identitajiet ġodda.

Din id-differenza jistħoqqilha tiġi miktuba b’mod espliċitu fit-ticket, għax it-tnejn jiġu konfużi kontinwament. Il-mistoqsija li trid tiġi mwieġba hija jekk il-fajl li nxxa huwiex iċ-ċertifikat jew iċ-ċavetta tal-firma, u ħarsa mgħaġġla lejn il-kontenut tal-fajl issolviha. Ċertifikat iġorr ċavetta pubblika u firma; iċ-ċavetta tal-firma ma tidhirx fih xejn.

It-tqassim xorta jistħoqqlu attenzjoni. Il-klijenti għandhom jiksbu ċ-ċertifikat mit-triq approvata tal-kunsinna tal-profili, mhux minn sit tal-pejst, u ċertifikat li jasal minn rotta mhux affidabbli jista’ jiġi sostitwit fil-vjaġġ.

Ċavetta tal-pari u sigriet tls-auth mhumiex

Iċ-ċavetta privata tal-pari hija materjal tal-identità. Ladarba tiġi kkupjata, is-server ma jibqax jista’ jiddistingwi l-apparat maħsub minn kull min għandu l-kopja, għax il-pussess esklużiv kien il-proprjetà li kienet qed tiġi murija. Li tkompli l-awtorizzazzjoni u s-sostituzzjoni huma deċiżjonijiet tas-sid tal-VPN, mhux ta’ min sab il-fajl.

Sigriet tls-auth huwa t-tielet ħaġa. Iżid awtentikazzjoni HMAC madwar il-pakketti tal-kanal tal-kontroll biex dawk awtentikati b’mod żbaljat jitwarrbu qabel skambju TLS, u mhuwiex iċ-ċavetta privata tal-pari u lanqas iċ-ċavetta li tikkripta d-dejta tal-applikazzjoni.

Jekk dan is-sigriet kondiviż huwa pubbliku, il-barriera li kien jipprovdi marret għal kulħadd li għandu. Mhux segwiet li kull detentur jgħaddi mill-verifiki taċ-ċertifikat u tal-utent warajha, u għalhekk il-klassifikazzjoni hija aktar importanti mil-livell tal-allarm. Għid liema barriera waqgħet, u għid liema għadhom.

Sejjaħ ir-rwol li nxxa, mhux wieħed ġar

Sigriet kondiviż ma jistax jerġa’ jsir privat billi tinbidel l-isem tal-fajl jew tinħeba l-link tat-tniżżil. Sostituzzjoni tfisser li tiġi ġġenerata valur ġdida u titqassam lil kull pari fi bidla kkoordinata, u li tissostitwixxi naħa waħda biss tkisser il-ftehim għal kulħadd li għadu għandu l-valur antik.

Jekk l-identità ta’ pari ġiet esposta, uża l-proċess ta’ revoka u reġistrazzjoni mill-ġdid tal-operatur għal dik l-identità. Li tibdel password ta’ kont mhux relatat ma tinvalidax ċertifikat ikkupjat, u lanqas li tibdel il-fajl tls-auth.

Ikkonferma x’inhu attwalment infurzat mis-server skjerat qabel ma tiddependi fuq xi ħaġa minn dan. Lista ta’ revoka li ma tiġix aġġornata, jew verifika tar-rwol li ġiet diżattivata waqt waqfa, tibdel it-tweġiba għal kollox. Aqra l-konfigurazzjoni li qed taħdem, mhux il-kopja fir-repożitorju.

Iġġudika t-traffiku tal-passat skont it-termini tiegħu stess

Fajl espost waħdu ma jgħidlekx jekk sessjonijiet maqbuda qabel jistgħux jiġu deċifrati. Dan jiddependi mill-metodu tal-istabbiliment taċ-ċavetta, mill-materjal espost u minn liema rekords jeżistu, u kemm ‘it-traffiku kollu ntrema’ kif ukoll ‘ma ġara xejn’ huma raden mingħajr dawk il-fatti.

Tippubblikax kopja oħra tal-kredenzjali waqt li tistaqsi liema kategorija tagħha. Minflok aqsam l-ismijiet tad-direttivi u metadejta mhux sigrieta mit-triq tal-appoġġ approvata.

Il-konklużjoni utli ssemmi l-oġġett, ir-rwol tiegħu, il-protezzjoni li ntilfet u l-azzjoni kkoordinata meħtieġa. Kull ħaġa iqsar minn hekk hija intestatura, mhux valutazzjoni.