Talet på bitar i ei statisk nøkkelfil er ikkje OpenVPN-chifferet si styrke

Ein skannar eller ein kollega peikar på talet på bitar som er trykt inne i ei statisk OpenVPN-nøkkelfil, og spør kvifor tunnelen ikkje brukar eit chiffer av den storleiken. Spørsmålet høyrest rimeleg ut, og svaret er ikkje eit tal: banneret tel lagra nøkkelmateriale, medan eit chiffer berre brukar den delen nøkkelstorleiken krev. Behandlar ein summen som ei styrkeinnstilling, endar ein med endringar som ikkje endrar noko. Formatet vart bygd for å romme meir materiale enn nokon einskild algoritme brukar.

Her blandar to spørsmål seg: kor mykje nøkkelmateriale fila lagrar, og kor sterkt det forhandla chifferet er. Berre det andre skildrar tunnelen.

Kva talet i banneret eigentleg tel

Behaldaren serialiserer chiffermateriale og HMAC-materiale som skilde strukturar, og den tovegs forma held to slike sett slik at kvar retning kan bera sine eigne nøklar. Skrivekoden utleier det trykte talet frå talet på serialiserte strukturar, storleiken deira og åtte bitar per byte. Det er aritmetikk over lagring, ikkje ei påstand om at eitt chiffer brukar kvar lagra byte. Hovudet fastset òg ei maksimal tildeling av chiffermateriale, slik at ei bibliotekendring ikkje stille kan endre dimensjonane til formatet.

Samanlikn det med ein sertifikatnøkkel, der talet på bitar faktisk skildrar storleiken på eitt objekt. Ein RSA-nøkkel på 4,096 bitar og ei nøkkelfil der banneret viser 4,096 bitar, er ulike artefaktar med ulike oppgåver, og å stille dei opp som to innstillingar på ein knapp gjev dårlege konklusjonar.

To nøkkelsett i éi fil

Kvar halvdel av fila leverer materiale for kryptering og autentisering, fordi modusen med førehandsdelt nøkkel vernar pakkar i begge retningar med desse skilde delane. Det aktive chifferet brukar berre byta nøkkelstorleiken krev, og digesten brukar sin eigen utgangsstorleik, difor kjem den brukbare styrken frå vala og ikkje frå lengda på fila. Å forlengje den heksadesimale blokka ber ikkje den konfigurerte algoritmen om å bruke meir av henne. Å redigere kommentaren med eit større tal endrar endå mindre.

Vil du faktisk ha ein lengre nøkkel, er innstillinga som må endrast chifferet eller digesten, og generatoren produserer det dei valde algoritmane treng.

Å lese profilen fortel deg kva modus du har

Same filformat tener to ganske ulike oppgåver, og berre profilen seier kva du har. Ei gammal secret-linje gjer fila til det einaste nøkkelmaterialet til tunnelen, medan tls-auth eller tls-crypt gjer henne til vern av kontrollkanalen attmed sertifikat. Ingen av bruka gjer henne til ein klients sertifikatprivate nøkkel, uansett kor lik blokka ser ut. Identifiser valet og versjonen før du genererer ein erstattar, og bruk den dokumenterte generatoren i staden for å leggje til teikn.

Den skilnaden avgjer òg svaret på ei eksponering. Ein tls-auth-nøkkel som lek, avdekkjer ikkje sesjonsnøklane, men han lèt ein angripar injisere trafikk i kontrollkanalen, så han må framleis bytast. Ein leken secret-nøkkel er verre, fordi han var materialet som verna sjølve dataa.

Kva ein tryggleiksgjennomgang bør registrere

Registrer tre ting kvar for seg: det forhandla vernet av datakanalen, vernet av kontrollkanalen og korleis partar autentiserer kvarandre. Ei linje som data-ciphers AES-256-GCM skildrar berre det første, og ein rapport som stoppar der, kan ikkje svare på om kontrollkanalen i det heile er verna. Den statiske nøkkelfila høyrer i den andre kategorien når ho vert brukt med tls-auth eller tls-crypt, og i ingen av dei når ho ikkje vert brukt. Vurderarar som blandar kategoriane, ber om ei større nøkkelfil når det dei vil ha, er eit sterkare chiffer.

Vart fila eksponert, roter henne og distribuer henne på nytt via den godkjende kanalen. Å leggje teikn til ein kompromittert løyndom er ikkje rotasjon, og det lèt det eksponerte materialet vere gyldig.

Oppbevar rotasjonsnotatet saman med profilen det høyrer til. Neste gjennomgang vil spørje kva nøkkel som verna kva periode, og banneret vil ikkje svare på det.