Ċavetta statika jew TLS għal konnessjoni OpenVPN bejn żewġ sħab?

Żewġ magni li jitkellmu biss ma’ xulxin jistgħu jżommu dik it-topoloġija u xorta jiksbu ċwievet tat-traffiku nnegozjati. Il-forma tan-netwerk u l-modalità tal-protezzjoni huma għażliet indipendenti, u huwa t-taħlit tagħhom li jġiegħel lin-nies jippruvaw iddawru sigriet statiku billi jbiddlu fajl waqt li ż-żewġ daemons ikomplu jaħdmu. It-tibdil tal-fajl taċ-ċavetta taħt par li qed jaħdem ma jdawwar xejn. Il-modalità tal-ċavetta statika, li OpenVPN 2.6 timmarka bħala skaduta, iżżomm ċavetta waħda għall-ħajja kollha tat-tunnel, għalhekk il-fajl fuq id-diska u ċ-ċavetta fil-memorja jerġgħu jaqblu biss wara li ż-żewġt itruf jerġgħu jinbdew. Jekk it-tiġdid awtomatiku huwa r-rekwiżit, il-modalità tal-protezzjoni trid tinbidel.

X’ma tistax tagħmel il-modalità tal-ċavetta statika

Fil-modalità sigrieta, iż-żewġ sħab jaqsmu ċavetta maqsuma minn qabel li tikkripta u tawtentika t-tunnel direttament. M’hemmx handshake, għalhekk m’hemmx mekkaniżmu biex xi naħa tipproponi materjal ġdid taċ-ċavetta, tipprova identità jew tirkupra minn nuqqas ta’ qbil mingħajr intervent tal-operatur. Iż-żewġ proprjetajiet joħorġu mill-assenza ta’ kanal ta’ kontroll u mhux minn għażla nieqsa, u l-ebda bandiera tal-konfigurazzjoni ma żżid waħda ma’ din il-modalità.

Il-manwal ta’ OpenVPN 2.6 jgħid b’mod ċar li ċ-ċavetta tibqa’ sakemm tiġi ġġenerata waħda ġdida. Dan huwa aċċettabbli għal konnessjoni tal-laboratorju jew par fiss ta’ apparati b’proċedura tad-dawran dokumentata, u mhuwiex aċċettabbli fejn sigriet fit-tul huwa riskju reali. It-tibdil ta’ fajl ma joħloqx ċavetta ġdida għal par li qed jaħdem; joħloq żewġ sħab li ma jaqblux. Għalhekk is-sostituzzjoni tal-fajl iżżid waqfa mingħajr ma żżid dawran.

M’hemmx lanqas kunċett ta’ identità tas-sieħeb lil hinn mill-pussess tal-fajl. Kull min għandu ċ-ċavetta huwa sieħeb, u xejn fit-tunnel ma jirreġistra liema naħa hija liema, għalhekk ir-revoka hija kollox jew xejn.

Il-mixja għal TLS mingħajr ma terġa’ tiddisinja l-konnessjoni

Il-modalità TLS iżżid kanal ta’ kontroll, u miegħu l-kapaċità li jiġu nnegozjati ċ-ċwievet tal-kanal tad-dejta. F’implimentazzjoni mill-punt sal-punt, naħa tieħu r-rwol tas-server u l-oħra r-rwol tal-klijent, iżda t-topoloġija tibqa’ konnessjoni bejn żewġ sħab: kull naħa taf il-punt tat-tarf tal-oħra, u ma jidhirx pool u lanqas servizz b’ħafna utenti. Ir-rwoli huma dettall tal-handshake, mhux arkitettura ġdida.

Agħti lil kull magna l-identità tagħha. Kull naħa teħtieġ ċertifikat u ċavetta privata, l-ankra tal-fiduċja li tivvalida l-oħra, u regola tal-verifika tas-sieħeb li ssemmi min hu mistenni. Terġax tuża ċ-ċavetta privata ta’ sieħeb fuq l-ieħor biex tiffranka l-ħin; dan jagħmel żewġ identitajiet waħda u jneħħi l-kapaċità li tirrevoka kwalunkwe naħa separatament. Ir-reġistrazzjoni hija l-post biex dan isir sew, għax li tissewwa aktar tard ifisser li jiġu maħruġa mill-ġdid iċ-ċertifikati.

Żomm il-kuntratt tan-netwerk bla tibdil waqt li tinbidel il-protezzjoni. L-istess indirizzi tat-tunnel, rotot u servizzi permessi għandhom japplikaw qabel u wara, sabiex ħsara waqt il-migrazzjoni tkun problema tal-protezzjoni u mhux sorpriża moħbija fl-irrotar. Ikteb l-indirizzi u r-rotot qabel il-bidla; li tqabbelhom wara huwa aktar mgħaġġel milli terġa’ tibnihom mill-memorja.

Xi implimentazzjonijiet jipproteġu wkoll il-kanal ta’ kontroll b’ċavetta statika tiegħu stess, li ma ddurx mal-kanal tad-dejta. Dik iċ-ċavetta tgħasses il-handshake u mhux it-tagħbija, għalhekk il-kompromess tagħha jesponi n-negozjati u mhux it-traffiku. Aħżinha separat mill-materjal tal-kanal tad-dejta, u agħtiha data tas-sostituzzjoni li persuna msemmija tippossjedi. Id-dawran tagħha jfisser li ż-żewġ sħab jerġgħu jinbdew fi tieqa kkoordinata, għalhekk jistħoqqilha dħul fil-kalendarju u mhux tifkira.

Min iġedded xiex, u meta

Fil-modalità TLS, it-tiġdid huwa mmexxi minn limiti kkonfigurati: intervall ta’ żmien, għadd ta’ bytes jew għadd ta’ pakketti. Il-kontroll tal-ħin dokumentat huwa dak li jiddependu fuqu ħafna implimentazzjonijiet, u l-inqas valur effettiv bejn iż-żewġ sħab jista’ jibda s-sostituzzjoni, għalhekk li tgħollih fuq naħa waħda biss ma żżommx l-avveniment lura. Il-limiti bbażati fuq il-volum jeżistu għax konnessjoni mxengla tista’ tħejja ċavetta ħafna qabel ma tagħmel dan l-arloġġ. L-ebda limiti mhuma verifika tas-saħħa, u l-ebda wieħed ma jgħidlek li tiġdid irnexxa.

Għalhekk huwa qarrieqi li tiddijanjostika negozjati mill-ġdid rikorrenti minn fajl ta’ konfigurazzjoni wieħed. Aqra l-issettjar fuq iż-żewġ sħab, imbagħad ħares lejn it-tranżizzjoni fil-log minflok ma tassumi ħsara. Tiġdid li jitlesta nadif jidher bħala żbrixx qasir ta’ traffiku tal-kanal ta’ kontroll, mhux bħala skonnessjoni.

Żomm l-oġġetti separati f’moħħok. Iċ-ċertifikat jipprova identità fit-tul u jiġi sostitwit skont skeda li inti tikkontrolla. Iċ-ċavetta tal-kanal tad-dejta tiġġedded awtomatikament, u skambju ta’ awtentikazzjoni separat, jekk l-implimentazzjoni teħtieġ wieħed, isegwi l-politika tal-kont u jista’ jkollu bżonn arranġamenti tiegħu għal skambji aktar tard.

L-iddiżattivar tat-tiġdid għal kollox, billi l-intervall jiġi stabbilit għal żero, mhuwiex soluzzjoni għal log storbjuż. Dan ibiddel avveniment san taċ-ċiklu tal-ħajja f’ċavetta permanenti, li jġibek lura għall-proprjetà li kont qed tipprova tħalli warajk.

L-aċċettazzjoni tal-bidla

Ibni l-konfigurazzjoni l-ġdida mill-eżempju appoġġat tal-ħarġa installata, mhux minn siltiet minimi qodma li l-algoritmi u l-mogħdijiet tal-fajls tagħhom ġew ereditati minn x’imkien ieħor. Ikkoordina l-bidla sabiex iż-żewġ sħab jinbidlu flimkien, u żomm mogħdija ta’ rkupru approvata f’każ li naħa ma titlaqx. Niżżel il-konnessjoni deliberatament minflok ma tistenna waqfa biex tittestja r-rollback. Rollback li tkun ipprattikajt jiswa aktar minn rollback li tkun iddeskrivejt.

Ittestja tliet affarijiet: il-verifika inizjali tal-identità tirnexxi, il-fluss tal-applikazzjoni maħsub jaħdem, u tiġdid ikkontrollat iseħħ mingħajr ma jintilef traffiku. Imbagħad aqra t-tranżizzjoni fil-log għal dak li tassew tipprova: identifikatur ġdid taċ-ċavetta jfisser li s-sħab temmew sostituzzjoni, mhux li t-tunnel reġa’ qabbad. Ittrattah bħala evidenza ta’ pass wieħed, u ċċekkja l-kontaturi tat-traffiku qabel ma tiddikjara l-migrazzjoni mitmuma.

Dak li wegħda ta’ ebda interruzzjoni kien taħbi huwa l-ħsara li għadek ma rajtx. Tiġdid li jfalli, ċertifikat li jiskadi jew difett fil-mogħdija xorta jistgħu jfixklu l-konnessjoni, u l-ebda wieħed minnhom mhu eskluż minn prova nadifa. Il-proprjetà li jiswa li tiġi ddisinjata għaliha hija eqreb u aktar utli: is-sostituzzjoni rutinara taċ-ċwievet tieqaf milli tkun tibdil manwali ta’ fajl.