tls-auth र tls-crypt: OpenVPN मा प्रत्येकले के सुरक्षित गर्छ

दुवै विकल्पले एउटै साझा कुञ्जी फाइल प्रयोग गर्छन् र दुवैले ह्यान्डशेक ट्राफिक नक्कली बनाउन गाह्रो बनाउँछन्, त्यसैले तिनलाई एउटै सुविधाका दुई नाम मानिन्छ। त्यस्तो होइन। एउटले नियन्त्रण प्याकेटमा हस्ताक्षर गर्छ, अर्कोले ती इन्क्रिप्ट पनि गर्छ, र दुवैको तपाईंको पेलोड जोगाउने साइफरसँग कुनै सम्बन्ध छैन।

प्रोफाइल जोडिन नसक्दा, सुरक्षा समीक्षाले कुञ्जीले के जोगाउँछ भनी सोध्दा, र अतिरिक्त फाइलले टनेललाई कुनै अनिश्चित तरिकाले इन्क्रिप्ट गर्छ भनी कसैले ठान्दा यो भिन्नता महत्त्वपूर्ण हुन्छ।

साझा कुञ्जीले वास्तवमा के सुरक्षित गर्छ

यी विकल्पले प्रयोग गर्ने कुञ्जी नियन्त्रण च्यानलको हो: प्यारामिटरमा वार्ता गर्ने, पहिचान प्रमाणित गर्ने र डेटा कुञ्जीहरू निकाल्ने आदानप्रदान। यो पहिले नै साझा गरिएको रहस्य हो जो ह्यान्डशेक अगाडि बढ्नुअघि दुवै छेउमा हुनुपर्छ। पहिचान जाँचभन्दा अगाडि हुने भएकाले, गलत कुञ्जीले गलत पासवर्डभन्दा चाँडै कुराकानी रोक्छ। यही क्रमले असफलताको ढाँचा किन यति शान्त छ भनी व्याख्या गर्छ।

tls-auth त्यो रहस्य प्रयोग गरेर नियन्त्रण प्याकेटमा HMAC गणना गर्छ। वैध हस्ताक्षर नभएको प्याकेट महँगो TLS प्रशोधनमा पुग्नुअघि नै हटाइन्छ, त्यसैले यो विकल्पलाई TLS को विकल्प नभई पहिलो फिल्टर भनिन्छ।

tls-crypt अझ अगाडि बढ्छ र सुरक्षित नियन्त्रण ट्राफिकलाई प्रमाणित गर्नुका साथै इन्क्रिप्ट पनि गर्छ। प्रमाणपत्रको सामग्री, वार्ता गरिएका साइफर नामहरू र ह्यान्डशेकका अन्य विवरण अब सञ्जालमा देखिँदैनन्, र कुञ्जी नभएको पर्यवेक्षकले कुन TLS संस्करण प्रयास गरिँदै छ भनेर पनि देख्न सक्दैन। आफ्नो VPN पहिचान खुल्ने डर भएको तैनातीका लागि यही गुण यसलाई छान्ने मुख्य कारण हो। यो अझै समूह रहस्य हो, प्रति प्रयोगकर्ता प्रमाणपत्र होइन।

कुनै पनि संयन्त्रले पहिचान जारी गर्दैन। साझा कुञ्जी समूह रहस्य हो, र जसकोमा यो छ त्यसले जाँचको त्यो तह पूरा गर्न सक्छ।

दुई विकल्प कहाँ फरक पर्छन्

देखिने भिन्नता भनेको पर्यवेक्षकले के देख्छ भन्ने हो। tls-auth सँग ह्यान्डशेक देखिन्छ तर कुञ्जीबिना प्रमाणित गर्न सकिँदैन। tls-crypt सँग ह्यान्डशेक कुञ्जी नभएको जोकोहीलाई अस्पष्ट हुन्छ।

कन्फिगरेसन पनि फरक हुन्छ। tls-auth दिशा मानसँग प्रयोग गरिन्छ, त्यसैले एउटा पक्षले कुञ्जी सामग्रीको आधा भाग प्रयोग गर्छ र अर्को पक्षले अर्को आधा। tls-crypt दुवै दिशामा एउटै कुञ्जी प्रयोग गर्छ, त्यसैले दिशा निर्देश त्यसको संरचनाको भाग होइन।

आधुनिक संस्करणहरूमा दुई विकल्प परस्पर विशिष्ट छन्। प्रोफाइलमा तीमध्ये एउटा हुनुपर्छ, दुवै होइन, र सर्भर र क्लाइन्टले समान कुञ्जी सामग्रीसहित कुन हो भनी सहमत हुनुपर्छ। पुरानो निर्देश नयाँको छेउमा राख्नु सामान्य स्थानान्तरणको अवशेष हो। निष्क्रिय हटाउनुहोस् ताकि अर्को पाठकले कुन तह वास्तवमै लागू छ भनी जानोस्।

नयाँ प्रकार, tls-crypt-v2, प्रत्येक क्लाइन्टलाई आफ्नै बेरिएको कुञ्जीसँग बाँध्छ ताकि एउटा क्लाइन्ट रद्द गर्न समूह कुञ्जी पुनः जारी गर्नु नपरोस्। यो जान्न लायक छ, तर यो फरक विकल्प हो र यहाँका दुईमध्ये कुनैको पर्यायवाची होइन।

अमिलता किन केही नभएको जस्तो देखिन्छ

साझा सामग्री नमिल्दा, अर्को छेउले पठाउनेलाई कारण नभनी प्याकेटहरू फालिदिन्छ। पढ्ने कुनै प्रमाणीकरण त्रुटि हुँदैन, किनभने प्याकेट त्यो उत्पन्न गर्ने तहसम्म कहिल्यै पुगेन।

क्लाइन्ट फेरि प्रयास गर्छ, सर्भर केही भन्दैन, र लक्षण सञ्जाल समस्याजस्तो देखिन्छ। त्यसपछि मानिसहरू सेवा पुनः सुरु गर्छन्, खाताको पासवर्ड फेरि टाइप गर्छन्, वा «परीक्षण» गर्न सुरक्षा निर्देश हटाउँछन्, जसले निदान गर्नुको सट्टा तैनाती बदल्छ।

सर्भर लगमा अन्तिम पुनः प्रयासको लाइन नभई प्याकेट-स्तरको पहिलो गुनासो पढ्नुहोस्। दुवै पक्षले समान कुञ्जी सामग्रीसहित एउटै विकल्प बोकेका छन् र कुञ्जी फाइल एउटै पक्षमा मात्र पुनः बनेको छैन भनी पुष्टि गर्नुहोस्।

निर्देश हटाउनु सुरक्षित मर्मत होइन। यसले प्रत्येक क्लाइन्टका लागि सुरक्षाको एउटा तह बन्द गर्छ, र त्यसपछि चल्ने टनेलले त्यही तह अमिलता थियो भन्ने मात्र प्रमाणित गर्छ।

अझै छुट्टै कन्फिगर गर्नुपर्ने

यी विकल्पले अर्को छेउ को हो भनी प्रमाणित गर्दैनन्। प्रमाणपत्र प्रमाणीकरण, विश्वास आधार र अपेक्षित सर्भर नाम छुट्टै आवश्यकताका रूपमा रहन्छन्, र साझा कुञ्जी हुँदैमा तीमध्ये कुनै पनि वैकल्पिक हुँदैन।

तिनले डेटा साइफर पनि छान्दैनन्। त्यो दुवै छेउका डेटा-च्यानल सेटिङले नियन्त्रण गर्ने छुट्टै वार्ता हो, र tls-crypt ले सुरक्षित टनेलले पनि तपाईंले नचाहेको साइफर प्रयोग गर्न सक्छ।

अन्तमा, साझा कुञ्जीलाई नै हेरचाह चाहिन्छ। यसलाई रहस्य मान्नुहोस्, स्वीकृत च्यानलबाट वितरण गर्नुहोस्, र यो भएको कोही गएपछि बदल्नुहोस्। यो साझा भएकाले, यसको खुलासा यो प्रयोग गर्ने प्रत्येक छेउको खुलासा हो।