Għaliex openssl rand ma jistax joħloq iċ-ċavetta li trid tls-crypt

OpenSSL diġà installat, il-host għandu entropija, u li tiġġenera ċavetta miegħu tidher bħala l-qasira ovvja. Il-ħruġ se jkun każwali u sigriet u għal kollox inutilizzabbli, u l-falliment jiġi bħala żball tal-kanal ta' kontroll minflok xi ħaġa li ssemmi format taċ-ċavetta. Dan it-tħassir huwa l-parti għalja, għax jibgħat lin-nies jispezzjonaw iċ-ċifrari tagħhom. Dak li l-VPN jaqra huwa struttura ta' fajl speċifika, mhux blokka każwali ta' bytes, u waħda mill-varjanti tal-karatteristika ma tistax tiġi prodotta barra s-server xejn.

X'għandu fil-fatt ikun il-fajl fuq id-diska

Fajl taċ-ċavetta statika ta' OpenVPN huwa test. Jibda b'linja ta' kumment li tiddikjara x'inhu, iġorr data hex f'ringieli ta' wisa' fissa, u b'kollox jammonta għal 256 byte ta' materjal taċ-ċavetta. OpenVPN jaqrah bħala s-sigriet komuni tal-kanal ta' kontroll, mhux bħala ċertifikat, mhux bħala frażi sigrieta u mhux bħala xi ħaġa li librerija TLS tirrikonoxxi.

L-istess tip ta' oġġett iservi ż-żewġ karatteristiċi tal-kanal ta' kontroll. B'tls-auth, kull pari jeħtieġ ukoll direzzjoni sabiex il-pakketti ta' naħa waħda ma jistgħux jiġu riflessi lura lejh. B'tls-crypt, sigriet komuni wieħed jikkripta u jawtentika l-kanal ta' kontroll fiż-żewġ direzzjonijiet, li jaħbi l-handshake kif ukoll jipproteġih.

Xejn minn dan mhu għarfien sigriet, u l-format mhu l-punt. Il-punt hu li l-fajl irid jaqbel eżattament ma' dak li jistenna l-qarrej: intestatura, wisa' tar-ringiela, linja ġdida finali u tul totali. Fajl li huwa ringiela barra jitgħabba bħala skart jew ifalli għal kollox. Għalhekk li tqabbel żewġ pari byte b'byte huwa l-ewwel test leġittimu, u huwa aktar mgħaġġel milli taqra waħda miż-żewġ fajls ta' konfigurazzjoni.

Il-mod appoġġat biex tagħmel waħda

Iġġenera ċ-ċavetta statika sempliċi bl-għodda li se tikkunsmaha, imbagħad irreferi għaliha miż-żewġ trufijiet:

openvpn --genkey secret /etc/openvpn/tc-shared.key
tls-crypt /etc/openvpn/tc-shared.key

L-ortografija tal-għażla nbidlet maż-żmien: installazzjonijiet eqdem mill-era 2.4 użaw forma b'bandiera separata qabel l-isem tal-fajl, filwaqt li l-bini attwali jaċċetta dik iqsar. Xorta waħda, il-fajl li jirriżulta huwa l-istess tip ta' oġġett, għalhekk il-verifika hija jekk iż-żewġ pari għandhomx bytes identiċi.

It-tieni ġenerazzjoni żżid struttura li ebda ġeneratur estern ma jista' joħloq. Ċavetta tas-server tinħoloq darba, u kull klijent jirċievi ċavetta mgeżwra derivata minnha:

openvpn --genkey tls-crypt-v2-server /etc/openvpn/tc-v2-server.key
openvpn --genkey tls-crypt-v2-client /etc/openvpn/laptop1.key --tls-crypt-v2 /etc/openvpn/tc-v2-server.key

Dak li jirċievi l-klijent mhuwiex iċ-ċavetta stess tas-server duplikata. Huwa oġġett mgeżwer li jġorr metadejta li s-server biss jista' jiftaħ, u dak l-geżwer huwa r-raġuni għaliex fajl għal kull apparat jista' jiġi revokat mingħajr ma jintmess ebda apparat ieħor. Żomm iċ-ċavetta tas-server fuq is-server u ttrattaha bħala l-għerq ta' dak il-fiduċja għal kull apparat.

Fejn jiġġarfu l-bytes magħmula bl-idejn

L-istampar ta' 256 byte każwali bħala hex taħt intestatura korretta teoretikament jagħti fajl taċ-ċavetta statika li jitgħabba. Xorta waħda hija idea ħażina. Kull dettall ta' formattjar isir opportunità li jiġi prodott materjal li jfalli fit-tagħbija jew, agħar, iħalli żewġ pari b'valuri differenti li jidhru biss bħala falliment ta' awtentikazzjoni.

Xejn ekwivalenti mhu possibbli bil-varjant v2. Ċavetta tal-klijent mgeżwra teżisti biss bħala output tal-proċess taċ-ċavetta tas-server, u s-server iżomm il-materjal meħtieġ biex jiftaħha. Blokka każwali tiġi miċħuda jew sempliċement tfalli fid-diċifrar, u ebda waħda miż-żewġ messaġġi ma ssemmi l-każwalità.

Il-kompatibbiltà tal-verżjonijiet tinsab fuq dan kollu. L-ewwel ġenerazzjoni teħtieġ rilaxx li jappoġġaha fuq iż-żewġ trufijiet, u t-tieni teħtieġ għal darb'oħra rilaxx aktar ġdid. Klijent mibni qabel ma teżisti l-karatteristika ma jistax itemm handshake ma' server li jaċċetta biss materjal mgeżwer, u l-falliment li jirrapporta jindika lejn il-kanal ta' kontroll minflok lejn il-verżjoni.

Rotazzjoni mingħajr ma tissakkar lil kulħadd barra

Li ddawwar sigriet komuni wieħed huwa eżerċizzju ta' koordinazzjoni, mhux tekniku. Kull klijent jeħtieġ il-fajl ta' sostituzzjoni f'idejh qabel ma s-server jirtira dak preċedenti, u kull magna li għadha żżomm il-valur antik tfalli fil-mument li jiġri dan. Tibdax dik ir-rotazzjoni f'nofs ġurnata tax-xogħol.

Bil-ftehim v2, ir-rotazzjoni hija għal kull apparat: ħareġ ċavetta mgeżwra ġdida għal magna waħda u rtira dik antika għal dik il-magna biss. Dak huwa l-argument ewlieni biex timxi ladarba kull klijent ikun fuq rilaxx li jappoġġah.

Il-permessi tal-fajls jappartjenu għall-istess konversazzjoni. Iċ-ċavetta għandha tkun tinqara biss mill-kont li jmexxi s-servizz, u m'għandhiex tgħix fl-istess repożitorju tal-profili li tipproteġi. Ir-referenza ta' OpenVPN 2.6 tiddokumenta l-forom tal-ġenerazzjoni u t-taqsimiet tal-materjal taċ-ċavetta, li hija sors aħjar minn kmand ikkupjat minn post tal-forum.