L-għadd ta' bits f'fajl ta' ċavetta statika mhuwiex is-saħħa taċ-ċifrar OpenVPN

Skaner jew kollega jindika l-għadd ta' bits stampat ġewwa fajl ta' ċavetta statika ta' OpenVPN u jistaqsi għaliex il-mina mhijiex tuża ċifrar ta' dak id-daqs. Il-mistoqsija tidher raġonevoli, u t-tweġiba mhijiex numru: il-banner jgħodd il-materjal tal-kavetta maħżun, filwaqt li ċ-ċifrar jikkonsma biss il-parti li teħtieġ id-daqs tal-kavetta tiegħu. Jekk dan it-total jittieħed bħala setting tas-saħħa, jirriżultaw editjar li ma jbiddlu xejn. Il-format inbena biex iżomm iktar materjal milli juża kwalunkwe algoritmu wieħed.

Hawn jitħalltu flimkien żewġ mistoqsijiet: kemm materjal tal-kavetta jaħżen il-fajl, u kemm hi b'saħħitha ċ-ċifrar maqbul. Biss it-tieni jiddeskrivi l-mina.

X'inhu fil-fatt jgħodd in-numru fil-banner

Il-kontenitur jisserializza l-materjal taċ-ċifrar u l-materjal HMAC bħala strutturi separati, u l-forma bidirezzjonali żżomm żewġ settijiet bħal dawn biex kull direzzjoni tkun tista' ġġorr il-kavetti tagħha stess. Il-kodiċi tal-kitba jieħu n-numru stampat min-numru ta' strutturi serializzati, mid-daqs tagħhom u minn tmien bits kull byte. Din hija aritmetika fuq il-ħażna, mhux dikjarazzjoni li ċifrar wieħed jikkonsma kull byte maħżun. L-intestatura tistabbilixxi wkoll allokazzjoni massima tal-materjal taċ-ċifrar biex bidla fil-librerija ma tkunx tista' tbiddel id-dimensjonijiet tal-format bil-kwiet.

Qabbel dan ma' kavetta ta' ċertifikat, fejn l-għadd ta' bits tassew jiddeskrivi d-daqs ta' oġġett wieħed. Kavetta RSA ta' 4,096 bit u fajl ta' kavetta li l-banner tiegħu jaqra 4,096 bit huma artefatti differenti b'xogħlijiet differenti, u li tqabbilhom bħala żewġ settings fuq dial wieħed iwassal għal konklużjonijiet ħżiena.

Żewġ settijiet ta' kavetti f'fajl wieħed

Kull nofs tal-fajl jipprovdi l-materjal għall-kriptaġġ u għall-awtentikazzjoni għax il-mod tal-kavetta maqsuma minn qabel jipproteġi l-pakketti fiż-żewġ direzzjonijiet b'dawk il-biċċiet separati. Iċ-ċifrar attiv juża biss il-bytes li jeħtieġ id-daqs tal-kavetta tiegħu, u d-digest juża d-daqs tal-ħruġ tiegħu stess, għalhekk is-saħħa li tista' tintuża tiġi mill-għażliet u mhux mit-tul tal-fajl. It-tul tal-blokka esadeċimali ma jitlobx lill-algoritmu kkonfigurat biex jikkonsma iktar minnha. L-editjar tal-kumment b'numru ikbar ibiddel saħansitra inqas.

Jekk tassew trid kavetta itwal, is-setting li trid tinbidel hija ċ-ċifrar jew id-digest, u l-ġeneratur jipproduċi dak li jeħtieġu l-algoritmi magħżula.

Li taqra l-profil jgħidlek liema mod għandek

L-istess format ta' fajl iservi żewġ xogħlijiet pjuttost differenti, u l-profil biss jgħid liema għandek. Linja antika secret tagħmel il-fajl l-uniku materjal tal-kavetta tal-mina, filwaqt li tls-auth jew tls-crypt jagħmilha protezzjoni tal-kanal tal-kontroll flimkien maċ-ċertifikati. L-ebda użu minn dawn ma jbiddel il-fajl f'kavetta privata taċ-ċertifikat ta' klijent, kemm jidher simili l-blokka. Identifika l-għażla u l-verżjoni qabel ma tiġġenera sostitut, u uża l-ġeneratur dokumentat minflok iżżid karattri.

Din id-differenza tiddetermina wkoll it-tweġiba għal espożizzjoni. Kavetta tls-auth li tnixxi ma tesponix il-kavetti tas-sessjoni, imma tħalli attakkant jittinjetta traffiku tal-kanal tal-kontroll, għalhekk xorta trid tinbidel. Kavetta secret li nixxiet hija agħar, għax kienet il-materjal li kien jipproteġi d-dejta stess.

X'għandha tirrekordja reviżjoni tas-sigurtà

Irreġistra tliet affarijiet separatament: il-protezzjoni maqbula tal-kanal tad-dejta, il-protezzjoni tal-kanal tal-kontroll, u kif il-pari jawtentikaw lil xulxin. Linja bħal data-ciphers AES-256-GCM tiddeskrivi biss l-ewwel waħda, u rapport li jieqaf hemm ma jistax iwieġeb jekk il-kanal tal-kontroll huwiex protett xejn. Il-fajl tal-kavetta statika jaqa' fit-tieni kategorija meta jintuża ma' tls-auth jew tls-crypt, u fl-ebda waħda meta ma jintużax. Reviżuri li jħalltu l-kategoriji jitolbu fajl tal-kavetta ikbar meta dak li jridu hu ċifrar iktar b'saħħtu.

Jekk il-fajl ġie espost, dawwar u erġa' qassmu mill-kanal approvat. Iżżid karattri ma' sigriet kompromess mhijiex tidwir, u tħalli l-materjal espost validu.

Żomm ir-rekord tat-tidwir mal-profil li jagħmel parti minnu. Ir-reviżjoni li jmiss se tistaqsi liema kavetta pproteġiet liema perjodu, u l-banner ma jwieġibx dan.