OpenVPN tls-crypt-v2: x'jagħmlu ċ-ċavetta tal-klijent u l-blob imgeżwer
Profil tls-crypt-v2 fih ċavetta ta' kontroll tal-klijent u kopja mgeżwra li jista' jiftaħ biss is-server. Żomm kull oġġett u kull pass ta' rtirar separatament.
L-inklużjoni ta' profil tls-crypt-v2 f'ticket tidher bla ħsara sakemm tgħodd x'fih il-fajl. Iċ-ċavetta tal-kanal ta' kontroll tal-klijent tinsab ħdejn kopja encrypted tal-istess ċavetta, u t-tielet oġġett, iċ-ċavetta tal-geżwir, qatt ma titlaq mis-server li jaċċetta. Dawn it-tlieta jwieġbu mistoqsijiet differenti dwar il-kustodja, il-qsim u l-irtirar. Is-separazzjoni tagħhom issolvi l-biċċa l-kbira tad-dibattiti tal-politika qabel ma jibdew.
X'fih il-profil verament
In-nofs tal-klijent ta' tls-crypt-v2 hija ċavetta flimkien ma' kopja mgeżwra tagħha. Il-klijent juża ċ-ċavetta sempliċi għall-protezzjoni tal-kanal ta' kontroll u jagħti l-kopja mgeżwra lis-server waqt is-setup, sabiex is-server jirkupra l-istess ċavetta mingħajr ma jaħżen kopja f'kitba ċara għal kull klijent. Iċ-ċavetta tal-geżwir tagħmel dik l-irkupru possibbli u tappartjeni biss għan-naħa li taċċetta. Kull ma hu hawn taħt joħroġ minn fejn jgħixu dawk it-tliet oġġetti.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
Aqra t-tabella bil-kustodja, mhux bl-isem, u l-konsegwenzi joħorġu waħedhom. It-telf taċ-ċavetta tal-geżwir huwa l-avveniment għali, għax xejn fi profil ma jista' jerġa' jibniha u l-irkupru onest huwa li l-grupp jerġa' jiġi maħruġ. Profil li nfirex huwa irħas iżda ħafna aktar komuni, għax in-nies iwaħħlu l-profili fit-tickets bit-twemmin li l-kopja mgeżwra tagħmel il-fajl sigur biex jinqasam. Iż-żewġ fallimenti jeħtieġu tweġibiet differenti, u għalhekk l-oġġetti jinżammu separati.
Għala l-kopja mgeżwra mhix l-istorja kollha
Profil iġorr il-materjal tal-klijent li jintuża flimkien mal-kontroparti mgeżwra tiegħu, għalhekk il-protezzjoni tal-kopja għas-server ma tgħid xejn dwar il-protezzjoni tal-fajl. Il-blob huwa sigur biex jintbagħat u mhux sigur biex jiġi ppubblikat. Il-metadata fih tidher lil kull min jirċievi l-blob, inkluż kull min aktar tard jaqra t-ticket li fih tpoġġa.
Ittratta profil bħala kredenzjali, mhux bħala kampjun ta' konfigurazzjoni. Fajl li nfirex jagħti lil min iżommu identità tal-klijent li taħdem sakemm is-server jieqaf jaċċetta dik l-identità, u l-geżwir ma jagħmel xejn dwar dak it-tieqa. Oħroġ profil wieħed għal kull klijent sabiex l-irtirar jibqa' deċiżjoni ta' fajl wieħed, u żomm backup taċ-ċavetta tal-geżwir separat mill-konfigurazzjoni tas-server li tippermetti. L-ebda waħda miż-żewġ drawwiet ma ssewwi profil kompromess, imma t-tnejn jiddeċiedu kemm malajr jitrazzan dak li jmiss.
Fejn tinsab il-ganċ tal-verifika fil-handshake
Il-ganċ tal-verifika jaħdem qabel ma jiġi espost il-munzell TLS, u x-xogħol tiegħu huwa li jispezzjona l-metadata li tinġarr fil-blob imgeżwer. Huwa jirċievi dik il-metadata flimkien ma' ambjent żgħir u dokumentat, u għandu inqas x'jaħdem bih minn ganċ tal-awtentikazzjoni. Li wieħed jassumi li jara ismijiet tal-utenti, stat tas-sessjoni jew varjabbli tal-plugin huwa l-mod tas-soltu kif dan il-ganċ jinkiteb ħażin. Aqra t-taqsima tal-manwal tal-ganċ stess minflok tissellef aspettattivi minn ganċ ieħor.
L-istat tal-ħruġ tiegħu huwa d-deċiżjoni: riżultat mhux żero jirrifjuta l-klijent u riżultat żero jħalli l-handshake jkompli. Għalhekk il-politika trid tgħid x'jiġri meta l-metadata tkun nieqsa, ma tistax tiġi analizzata jew hija mhux mistennija. Ikteb l-ewwel it-triq tar-rifjut, imbagħad iddeċiedi liema valuri huma aċċettabbli.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shDawk iż-żewġ linji huma l-wiċċ tal-politika fuq is-server: waħda ssemmi ċ-ċavetta tal-geżwir, l-oħra ssemmi l-programm li jiġġudika kull klijent. Kull ma hu interessanti jgħix fl-iskritt, li jistħoqqlu kontroll tal-verżjonijiet u l-istess reviżjoni bħal kull regola oħra tal-aċċess.
Kont, ċertifikat u ċavetta ta' kontroll jirtiraw separatament
L-aċċettazzjoni bikrija tal-kanal ta' kontroll mhix awtentikazzjoni, għax isseħħ qabel il-verifika tal-identità TLS u qabel kwalunkwe awtorizzazzjoni tal-kont. L-iżattivar ta' kont, ir-revoka ta' ċertifikat u ċ-ċaħda ta' ċavetta ta' kontroll tal-klijent huma tliet azzjonijiet bi tliet mekkaniżmi. Skjerament li jagħmel waħda biss minnhom għandu vojt, mhux politika. Irrikonċilja t-tlieta b'mod intenzjonat, u rreġistra liema pass jeżerċita liema awtorità.
Il-ħin huwa t-tieni distinzjoni. Lista tal-aċċettazzjoni mibdula tapplika għal handshakes ġodda, filwaqt li sessjonijiet diġà stabbiliti jkomplu jaħdmu sakemm xi ħaġa ttemmhom. Li tgħodd l-entrati fil-lista l-ġdida bħala prova li sessjonijiet qodma spiċċaw huwa kif klijent imneħħi jibqa' konness għal sigħat.
Awtoritajiet mhux irrikonċiljati jħallu żewġ toqob li faċli ssibhom fil-prattika. Kont jista' jiġi żattivat filwaqt li ċ-ċavetta ta' kontroll tiegħu għadha tiftaħ handshake, u ċertifikat jista' jiġi revokat filwaqt li l-politika tal-metadata għadha taċċetta l-istess klijent. It-tnejn huma l-istess żball f'postijiet differenti, għax operatur ittratta lista waħda bħala l-awtorità kollha. Qiegħed it-tliet listi ħdejn xulxin fil-ħin tat-tneħħija u l-iżball isir viżibbli.
Il-ħruġ u l-irtirar ta' profil
Il-ħruġ huwa n-nofs faċli: oħloq iċ-ċavetta tal-klijent fuq in-naħa li taċċetta, agħti l-profil lil propjetarju wieħed biss, żomm il-materjal tal-geżwir ristrett, u ħaddem l-istess programm tal-verifika fuq kull server li jaċċetta. Ammissjoni irħisa hija proprjetà tal-grupp kollu, mhux tal-aktar host ġdid. It-tieni server b'iskritt eqdem jew aktar laxk isir bil-kwiet l-aktar triq dgħajfa fl-iskjerament.
L-irtirar jeħtieġ it-tliet passi fi ordni intenzjonat. Ċaħad il-klijent fil-ganċ tal-verifika sabiex handshakes ġodda jfallu, irrevoka ċ-ċertifikat tiegħu jekk tintuża PKI, u żattiva l-kont sabiex awtorizzazzjoni aktar tard ma jkollhiex x'tawtorizza. Imbagħad temm is-sessjonijiet li ppermettiet l-aċċettazzjoni l-qadima, għax dawn mhux se jinnutaw waħda mit-tlieta. Ipprattika s-sekwenza fuq klijent li tista' taffordja li tkisser.
Il-metadata fi profil hija input għal dik il-politika, mhux prova li l-kontroll tal-aċċess diġà jeżisti. Id-dokument tad-disinn ta' OpenVPN 2.6 jiddeskrivi l-oġġetti u l-konfini li jiġbdu, filwaqt li l-infurzar jibqa' mal-operatur.