tls-auth kontra tls-crypt: x'jiproteġi kull wieħed f'OpenVPN

Iż-żewġ għażliet jużaw fajl tal-muftieħ kondiviż u t-tnejn jagħmlu t-traffiku tal-handshake aktar diffiċli biex jiġi ffalsifikat, għalhekk jiġu trattati bħala żewġ ismijiet għall-istess karatteristika. Mhumiex. Waħda tiffirma l-pakketti tal-kontroll, l-oħra tikkriptahom ukoll, u l-ebda waħda m'għandha x'taqsam mas-sifra li tipproteġi d-data tiegħek.

Dik id-differenza tgħodd meta profil ma jirnexxilux jikkonnettja, meta reviżjoni tas-sigurtà tistaqsi x'jiproteġi l-muftieħ, u meta xi ħadd jassumi li l-fajl żejjed jagħmel il-mina kkriptata b'xi mod mhux definit.

X'jiproteġi tabilħaqq il-muftieħ kondiviż

Il-muftieħ li jużaw dawn l-għażliet jappartjeni għall-kanal tal-kontroll: l-iskambju li jinnegozja l-parametri, jipprova l-identitajiet u joħroġ iċ-ċwievet tad-data. Dan huwa sigriet kondiviż minn qabel li ż-żewġt itruf iridu jkollhom qabel ma l-handshake jista' jkompli. Peress li jinsab qabel il-verifiki tal-identità, muftieħ żbaljat iwaqqaf il-konversazzjoni eqreb milli tagħmel password żbaljata. Dan l-ordni jispjega għaliex il-mod tal-falliment huwa daqshekk sieket.

tls-auth juża dan is-sigriet biex jikkalkula HMAC fuq il-pakketti tal-kontroll. Pakkett mingħajr firma valida jintrema qabel ma jasal għall-ipproċessar TLS, li huwa aktar għali, u għalhekk l-għażla spiss tiġi deskritta bħala l-ewwel filtru u mhux bħala sostitut għal TLS.

tls-crypt imur aktar 'il bogħod billi jikkripta t-traffiku tal-kontroll protett minbarra li jawtentikah. Il-kontenut taċ-ċertifikati, l-ismijiet tas-sifra nnegozjati u dettalji oħra tal-handshake ma jibqgħux jidhru fin-netwerk, u osservatur mingħajr il-muftieħ lanqas biss jista' jara liema verżjoni TLS qed tiġi ppruvata. Għal installazzjoni li tibża' milli tikxef il-marka tal-VPN tagħha, dik il-proprjetà hija r-raġuni ewlenija biex tagħżel dan. Xorta huwa sigriet tal-grupp, mhux kredenzjali għal kull utent.

L-ebda mekkaniżmu ma joħroġ identitajiet. Il-muftieħ kondiviż huwa sigriet tal-grupp, u kull min għandu jista' jissodisfa dik is-saff tal-verifika.

Fejn iż-żewġ għażliet differenti

Id-differenza li tista' tiġi osservata hija dak li jara osservatur. B'tls-auth il-handshake jidher iżda ma jistax jiġi vverifikat mingħajr il-muftieħ. B'tls-crypt il-handshake huwa opak għal kulmin ma jkollux il-muftieħ.

Il-konfigurazzjoni tvarja wkoll. tls-auth jintuża bi valur tad-direzzjoni, hekk li naħa tuża nofs il-materjal tal-muftieħ u n-naħa l-oħra tuża n-nofs l-ieħor. tls-crypt juża muftieħ wieħed fiż-żewġ direzzjonijiet, għalhekk id-direttiva tad-direzzjoni mhijiex parti mill-arranġament tiegħu.

Fir-rilaxxi moderni ż-żewġ għażliet jeskludu lil xulxin. Profil għandu jġorr waħda minnhom, mhux it-tnejn, u s-server u l-klijent iridu jaqblu liema, b'materjal tal-muftieħ li jaqbel. Li żżomm direttiva qadima ħdejn waħda ġdida huwa residwu komuni ta' migrazzjoni. Neħħi dik inattiva sabiex il-qarrej li jmiss ikun jaf liema saff huwa tabilħaqq fis-seħħ.

Varjant aktar ġdid, tls-crypt-v2, jorbot kull klijent mal-muftieħ imgeżwer tiegħu stess sabiex l-irtirar ta' klijent wieħed ma jkunx jeħtieġ li l-muftieħ tal-grupp jerġa' jinħareġ. Ta' min ikun jaf bih, iżda hija għażla differenti u mhix sinonimu ta' waħda miż-żewġ hawn.

Għaliex nuqqas ta' qbil jidher qisu xejn ma qed jiġri

Meta l-materjal kondiviż ma jaqbilx, il-pari jarmi l-pakketti mingħajr ma jgħid lill-mittent għaliex. M'hemmx żball ta' awtentikazzjoni x'taqra, għax il-pakkett qatt ma wasal għas-saff li kien se jipproduċih.

Il-klijent jerġa' jipprova, is-server ma jgħid xejn, u s-sintomu jidher bħala problema tan-netwerk. Imbagħad in-nies jistartjaw mill-ġdid is-servizz, jerġgħu jiktbu l-password tal-kont, jew ineħħu d-direttiva tal-protezzjoni biex «jittestjawha», li jbiddel l-installazzjoni minflok jiddijanjostikaha.

Aqra fil-log tas-server l-ewwel ilment fil-livell tal-pakketti u mhux l-aħħar linja tal-prova mill-ġdid. Ikkonferma li ż-żewġ naħat iġorru l-istess għażla b'materjal tal-muftieħ identiku u li l-fajl tal-muftieħ ma ġiex iġġenerat mill-ġdid fuq naħa waħda biss.

It-tneħħija tad-direttiva mhijiex tiswija sigura. Tiddiżattiva saff ta' protezzjoni għal kull klijent, u mina li taħdem wara dan turi biss li dak is-saff kien in-nuqqas ta' qbil.

X'għadu jrid jiġi kkonfigurat separatament

Dawn l-għażliet ma jivverifikawx min huwa l-pari. Il-validazzjoni taċ-ċertifikati, l-ankra tal-fiduċja u l-isem tas-server mistenni jibqgħu rekwiżiti separati, u l-ebda wieħed minnhom ma jsir għażla għax hemm muftieħ kondiviż.

Lanqas ma jagħżlu s-sifra tad-data. Dik hija negozjazzjoni separata kkontrollata mis-settings tal-kanal tad-data fuq iż-żewġ naħat, u mina protetta b'tls-crypt xorta tista' tuża sifra li ma kellokx f'moħħok.

Fl-aħħar, il-muftieħ kondiviż innifsu jeħtieġ immaniġġjar. Ittrattah bħala sigriet, qassmu permezz ta' kanal approvat u ibdluh meta jitlaq xi ħadd li kellu f'idejh. Peress li huwa kondiviż, l-espożizzjoni tiegħu hija l-espożizzjoni ta' kull tarf li jużah.