X’jivverifika openssl dhparam -check u x’jitlef

Li tgħaddi dhparam -check tinħass bħala sentenza dwar is-setup Diffie-Hellman tal-VPN tiegħek. Mhijiex. Il-kmand iqabbel fajl wieħed ta’ parametri mal-aritmetika li jgħid li jissodisfa, u ma jgħid xejn dwar jekk id-daqs tal-grupp jaqbilx mal-politika tiegħek jew jekk it-tunnel saħansitra jillowdjax dak il-fajl. Li taqrah bħala reviżjoni tas-sigurtà hija l-preżunzjoni li jixraq tissewwa l-ewwel.

Fajl ta’ parametri jżomm numru prim u ġeneratur. Il-validità hija proprjetà ta’ dawk in-numri, filwaqt li s-saħħa hija ġudizzju dwar il-mudell ta’ theddid tiegħek u l-pari tiegħek, u t-tnejn mhumiex skambjabbli.

X’tikkonferma tassew il-verifika tal-validità

Ħaddem il-verifika fuq il-fajl li għandek u aqra t-tweġiba. openssl dhparam -in dh.pem -check -noout iwettaq il-verifiki tal-parametri u jrażżan il-ħruġ kodifikat. Messaġġ li l-parametri jidhru tajbin ifisser li l-valuri huma konsistenti b’mod strutturali; ma jfissirx li grupp qasir huwa aċċettabbli fl-ambjent tiegħek.

Il-ġenerazzjoni mingħajr -dsaparam tagħti numri primi siguri, fejn (p-1)/2 huwa wkoll prim, u għalhekk iddum daqshekk. Il-mogħdija bl-istil DSA tibni l-parametri aktar malajr u tikkonvertihom għal forma DH, u l-manwal tal-OpenSSL iqabbad rekwiżiti addizzjonali ta’ ċwievet friski mal-użu tagħhom. L-ebda waħda miż-żewġ kostruzzjonijiet mhija sigriet tas-sessjoni: il-fajl huwa materjal ta’ konfigurazzjoni pubbliku, mhux iċ-ċavetta privata taċ-ċertifikat u mhux is-sigriet kondiviż tal-kanal ta’ kontroll.

Aqra d-daqs u l-ġeneratur qabel ma tiġġudika l-fajl

Riżultat ta’ validità jfisser aktar meta tkun taf x’ġie validat. Ipprintja l-parametri b’openssl dhparam -in dh.pem -text -noout, imbagħad innota t-tul tan-numru prim u l-valur tal-ġeneratur.

Qabbel dan it-tul ma’ politika miktuba minflok ma’ drawwa. Jekk il-ħtieġa tiegħek hija grupp imsemmi approvat minn stack TLS modern, fajl iġġenerat bl-idejn jista’ jkun l-artefatt kompletament żbaljat. Innota ż-żewġ numri fir-rekord tal-bidliet sabiex ir-reviżur li jmiss ma jkollux għalfejn jerġa’ jiddeduċihom.

Ittrasforma xejn spezzjoni f’ġenerazzjoni mill-ġdid

Il-modalità tal-falliment hawnhekk hija kmand li jidher bħal verifika u jġib ruħu bħal ġeneratur. Iż-żieda ta’ tul f’bits, bħal f’openssl dhparam -check 2048, titlob parametri ġodda u l-fajl tal-input jiġi injorat. Għażla tal-ġeneratur tista’ tagħmel l-istess. Jekk ridt biss tispezzjona, għaddi -in u -check u xejn li jiddeskrivi daqs.

Li tikteb il-ħruġ fuq il-mogħdija oriġinali jistħoqqlu l-istess suspett, għax il-manwal iwissi li l-ħruġ għall-fajl mhuwiex atomiku. Ħabta waqt il-kitba tħalli fajl ta’ parametri maqtugħ u servizz li ma jibdiex.

Qabbel il-grupp mal-protokoll, mhux ma’ moda

Il-politika tad-daqs hija deċiżjoni li l-għodda ma tistax taqra għalik. Grupp ta’ qasam finit ta’ 2048 bit huwa l-art komuni u gruppi akbar jiswew ħin ta’ handshake, għalhekk agħżel iċ-ċifra li ssemmi l-linja bażi tiegħek stess u iktebha. Gruppi użati ħafna mhumiex dgħajfa għax huma pubbliċi; l-oskurità ma żżidx xejn hawn.

Fejn l-istack jappoġġja gruppi msemmija approvati, segwi dak l-arranġament dokumentat minflok ma tiġġenera parametri mhux tas-soltu biex jidhru uniċi. Grupp imsemmi huwa xi ħaġa li pari jista’ jirrikonoxxi u reviżur jista’ jfittex, li tiswa aktar minn fajl personalizzat li ħadd ma jista’ jikklassifika.

Ikkonferma li l-VPN itella’ l-fajl

Fajl ta’ parametri korrett li ebda proċess ma jaqra ma jbiddel xejn. F’OpenVPN id-direttiva tas-server hija dh b’mogħdija, u skjeramenti li jiddependu fuq ECDH jew skambju ta’ ċwievet TLS 1.3 jistgħu minflok jistabbilixxu dh none. Iċċekkja l-konfigurazzjoni li qed taħdem minflok template, imbagħad ikkonferma li l-klijenti u l-pari jinnegozjaw l-istess kostruzzjoni.

Agħlaq iċ-ċirku bl-evidenza li tassew għandek bżonn: il-grupp li nnegozja t-tunnel, it-tul tal-parametri fil-fajl u l-linja tal-politika li dan it-tul jissodisfa. Verifika li tgħaddi hija oġġett wieħed f’dik il-lista. Li tittrattaha bħala t-tweġiba kollha hija kif grupp qasir jibqa’ ħaj minn awditu li kellu jaqbadha.