openssl dhparam -check के जाँच्छ र के छुटाउँछ

dhparam -check पास हुनु तपाईंको VPN को Diffie-Hellman सेटअपमाथिको फैसला जस्तो लाग्छ। त्यस्तो होइन। यो आदेशले एउटा प्यारामिटर फाइललाई यसले पूरा गर्छ भन्ने अंकगणितसँग तुलना गर्छ, र समूहको आकार तपाईंको नीतिसँग मिल्छ कि बोगदाले त्यो फाइल लोड गर्छ भन्नेबारे केही भन्दैन। यसलाई सुरक्षा समीक्षाका रूपमा पढ्नु पहिले सुधार्नुपर्ने अनुमान हो।

प्यारामिटर फाइलमा एउटा अभाज्य सङ्ख्या र एउटा जेनेरेटर हुन्छ। वैधता ती सङ्ख्याको गुण हो, जबकि बल तपाईंको खतरा मोडेल र समकक्षीबारेको निर्णय हो, र दुवै अदलबदल गर्न मिल्ने छैनन्।

वैधता जाँचले वास्तवमा के पुष्टि गर्छ

तपाईंसँग भएको फाइलमा जाँच चलाउनुहोस् र जवाफ पढ्नुहोस्। openssl dhparam -in dh.pem -check -noout ले प्यारामिटर जाँच गर्छ र इन्कोड गरिएको आउटपुट दबाउँछ। प्यारामिटर ठीक देखिन्छन् भन्ने सन्देशको अर्थ मानहरू संरचनात्मक रूपमा सुसंगत छन् भन्ने हो; छोटो समूह तपाईंको वातावरणमा स्वीकार्य छ भन्ने होइन।

-dsaparam बिना सिर्जना गर्दा सुरक्षित अभाज्य सङ्ख्या प्राप्त हुन्छ, जहाँ (p-1)/2 पनि अभाज्य हुन्छ, त्यसैले यति लामो समय लाग्छ। DSA शैलीको मार्गले प्यारामिटर छिटो बनाउँछ र तिनलाई DH रूपमा बदल्छ, र OpenSSL निर्देशिका तिनको प्रयोगसँग नयाँ कुञ्जीका थप शर्त जोड्छ। दुवै निर्माणमध्ये कुनै पनि सत्र गोप्य होइन: फाइल सार्वजनिक कन्फिगरेसन सामग्री हो, प्रमाणपत्रको निजी कुञ्जी होइन र नियन्त्रण च्यानलको साझा गोप्य होइन।

फाइलको निर्णय गर्नुअघि आकार र जेनेरेटर पढ्नुहोस्

वैधताको परिणाम तब बढी अर्थपूर्ण हुन्छ जब तपाईंलाई के जाँचियो थाहा हुन्छ। openssl dhparam -in dh.pem -text -noout ले प्यारामिटर प्रिन्ट गर्नुहोस्, त्यसपछि अभाज्य सङ्ख्याको लम्बाइ र जेनेरेटरको मान नोट गर्नुहोस्।

त्यो लम्बाइलाई बानीसँग होइन, लिखित नीतिसँग तुलना गर्नुहोस्। यदि तपाईंको आवश्यकता आधुनिक TLS स्ट्याकको स्वीकृत नामांकित समूह हो भने, हातले बनाइएको फाइल पूर्ण रूपमा गलत कलाकृति हुन सक्छ। दुवै सङ्ख्या परिवर्तन रेकर्डमा लेख्नुहोस् ताकि अर्को समीक्षकले तिनलाई फेरि निकाल्नु नपरोस्।

जाँचलाई पुनः सिर्जनामा बदल्नु हुँदैन

यहाँ असफलताको ढाँचा यस्तो आदेश हो जुन जाँचजस्तो देखिन्छ तर जेनेरेटरजस्तो व्यवहार गर्छ। बिट लम्बाइ थप्दा, जस्तै openssl dhparam -check 2048 मा, नयाँ प्यारामिटर मागिन्छ र इनपुट फाइल बेवास्ता गरिन्छ। जेनेरेटर विकल्पले पनि त्यही गर्न सक्छ। यदि तपाईं केवल निरीक्षण गर्न चाहनुहुन्थ्यो भने, -in र -check दिनुहोस् र आकार वर्णन गर्ने केही नदिनुहोस्।

मूल मार्गमाथि आउटपुट लेख्नु पनि त्यही शङ्काको पात्र हो, किनकि निर्देशिकाले फाइल आउटपुट परमाणु नभएको चेतावनी दिन्छ। लेख्दै गर्दा क्र्यास भएमा काटिएको प्यारामिटर फाइल र सुरु नहुने सेवा बाँकी रहन्छ।

समूहलाई प्रोटोकलसँग मिलाउनुहोस्, प्रवृत्तिसँग होइन

आकारको नीति यस्तो निर्णय हो जुन उपकरणले तपाईंका लागि पढ्न सक्दैन। 2048 बिटको सीमित क्षेत्र समूह सामान्य न्यूनतम हो र ठूला समूहले ह्यान्डशेक समय खर्च गर्छन्, त्यसैले तपाईंको आफ्नै आधाररेखाले भन्ने सङ्ख्या छान्नुहोस् र लेख्नुहोस्। व्यापक रूपमा प्रयोग हुने समूह सार्वजनिक भएकै कारण कमजोर होइनन्; यहाँ अस्पष्टताले केही थप्दैन।

जहाँ स्ट्याकले स्वीकृत नामांकित समूहलाई समर्थन गर्छ, त्यहाँ तिनलाई अद्वितीय देखाउन असामान्य प्यारामिटर बनाउनुको सट्टा त्यो अभिलेखित व्यवस्था पालना गर्नुहोस्। नामांकित समूह त्यस्तो कुरा हो जुन समकक्षले चिन्न सक्छ र समीक्षकले खोज्न सक्छ, जुन कसैले वर्गीकरण गर्न नसक्ने अनुकूलित फाइलभन्दा बढी मूल्यवान् हुन्छ।

VPN ले फाइल लोड गर्छ भनी पुष्टि गर्नुहोस्

कुनै प्रक्रियाले नपढ्ने सही प्यारामिटर फाइलले केही बदल्दैन। OpenVPN मा सर्भर निर्देश मार्गसहित dh हो, र ECDH वा TLS 1.3 कुञ्जी आदानप्रदानमा भर पर्ने तैनाथीले यसको सट्टा dh none सेट गर्न सक्छन्। टेम्प्लेट होइन, चालु कन्फिगरेसन जाँच्नुहोस्, त्यसपछि ग्राहक र समकक्षले एउटै निर्माणमा सहमत हुन्छन् भनी पुष्टि गर्नुहोस्।

साँच्चै आवश्यक प्रमाणसहित चक्र बन्द गर्नुहोस्: बोगदाले वार्ता गरेको समूह, फाइलमा प्यारामिटरको लम्बाइ, र त्यो लम्बाइ पूरा गर्ने नीतिको पङ्क्ति। पास भएको जाँच त्यो सूचीको एउटा मात्र बुँदा हो। यसलाई पूरै उत्तर मान्नु नै त्यो मार्ग हो जसबाट छोटो समूह आफूलाई समात्नुपर्ने अडिटबाट बच्छ।