ਕੀ ਉਹ ਪ੍ਰਕਾਸ਼ਿਤ OpenVPN ਕੁੰਜੀ CA ਹੈ, ਪੀਅਰ ਕੁੰਜੀ ਹੈ ਜਾਂ tls-auth?

ਕੋਈ ਦੱਸਦਾ ਹੈ ਕਿ VPN ਕੁੰਜੀ ਜਨਤਕ ਹੈ, ਅਤੇ ਇਹ ਵਾਕ ਤਿੰਨ ਬਿਲਕੁਲ ਵੱਖਰੀਆਂ ਸਥਿਤੀਆਂ ਲੁਕਾਉਂਦਾ ਹੈ। ਇਹ CA ਸਰਟੀਫਿਕੇਟ ਹੋ ਸਕਦਾ ਹੈ ਜੋ ਹਰ ਕਲਾਇੰਟ ਕੋਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਇੱਕ ਨਿੱਜੀ ਪਛਾਣ ਕੁੰਜੀ ਜੋ ਕਦੇ ਇੱਕ ਮਸ਼ੀਨ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਣੀ ਚਾਹੀਦੀ ਸੀ, ਜਾਂ ਇੱਕ ਸਾਂਝਾ ਕੰਟਰੋਲ-ਚੈਨਲ ਭੇਤ ਜੋ ਦੋਵੇਂ ਸਿਰਿਆਂ ਨੂੰ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ। ਮੁਰੰਮਤ, ਤਾਕਤ ਅਤੇ ਨੁਕਸਾਨ ਦਾ ਦਾਇਰਾ ਹਰ ਮਾਮਲੇ ਵਿੱਚ ਵੱਖਰਾ ਹੈ, ਇਸ ਲਈ ਪਹਿਲਾ ਕੰਮ ਵਰਗੀਕਰਨ ਹੈ, ਕਾਰਵਾਈ ਨਹੀਂ। ਸ਼੍ਰੇਣੀ ਗਲਤ ਹੋਈ ਤਾਂ ਹਰ ਅਗਲਾ ਕਦਮ ਵਿਅਰਥ ਮਿਹਨਤ ਹੈ।

ਫਾਈਲ ਨਾਮ ਤੋਂ ਨਹੀਂ, ਨਿਰਦੇਸ਼ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ

ਸਰਗਰਮ ਸੰਰਚਨਾ ਪੜ੍ਹੋ ਅਤੇ ਦੇਖੋ ਕਿ ਕਿਹੜਾ ਨਿਰਦੇਸ਼ ਸੰਬੰਧਿਤ ਸਮੱਗਰੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। OpenVPN ਦੇ TLS ਵਿਕਲਪ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟ ਸਮੱਗਰੀ ਲਈ ca, ਸਥਾਨਕ ਪੀਅਰ ਦੇ ਸਰਟੀਫਿਕੇਟ ਲਈ cert ਅਤੇ ਉਸ ਨਾਲ ਸੰਬੰਧਿਤ ਨਿੱਜੀ ਕੁੰਜੀ ਲਈ key ਵਰਤਦੇ ਹਨ।

ਫਾਈਲ ਨਾਮ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦੇ। key.pem ਨਾਮ ਦੀ ਫਾਈਲ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚਲੇ ਇਨਲਾਈਨ ਬਲਾਕ ਵਿੱਚ ਡਿਸਕ ਦੀ ਵੱਖਰੀ ਫਾਈਲ ਵਾਂਗ ਹੀ ਉਹੀ ਵਸਤੂ ਹੋ ਸਕਦੀ ਹੈ। ਨਾਮ ’ਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਥਾਂ ਫਾਈਲ ਖੋਲ੍ਹੋ ਅਤੇ ਉਸਦਾ ਹੈਡਰ ਵੇਖੋ। ਇਹ ਇੱਕ ਜਾਂਚ ਰਿਪੋਰਟ ਦੀ ਬਹੁਤੀ ਅਸਪਸ਼ਟਤਾ ਦੂਰ ਕਰਦੀ ਹੈ।

ਜੇ ਪ੍ਰੋਫਾਈਲ PKCS#12 ਬੰਡਲ ਹੈ, ਤਾਂ ਇਹ ਵੇਖਣ ਲਈ ਕਿ ਇਸ ਵਿੱਚ ਅਸਲ ਵਿੱਚ ਕੀ ਹੈ, ਇਸਨੂੰ ਕੰਟਰੋਲ ਕੀਤੀ ਥਾਂ ’ਤੇ ਖੋਲ੍ਹੋ। ਇੱਕ ਬੰਡਲ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ, ਉਸਦੀ ਚੇਨ ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀ ਹੋ ਸਕਦੀ ਹੈ, ਭਾਵ ਬੰਡਲ ਦਾ ਲੀਕ ਤਿੰਨਾਂ ਦਾ ਲੀਕ ਹੈ।

ਕੋਈ ਫਾਈਲ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਵਰਗੀਕਰਨ ਲਿਖ ਲਓ: ਵਸਤੂ, ਨਿਰਦੇਸ਼, ਕਿਹੜੇ ਪੀਅਰ ਇਸਨੂੰ ਰੱਖਦੇ ਹਨ ਅਤੇ ਕੌਣ ਇਸਨੂੰ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਬਾਕੀ ਸਾਰਾ ਜਵਾਬ ਇਸੇ ਵਾਕ ’ਤੇ ਟਿਕਿਆ ਹੈ।

CA ਸਰਟੀਫਿਕੇਟ ਸਾਂਝਾ ਕਰਨ ਲਈ ਬਣਾਇਆ ਗਿਆ ਹੈ

ਜਨਤਕ CA ਸਰਟੀਫਿਕੇਟ ਭਰੋਸੇ ਦੀ ਸਮੱਗਰੀ ਹੈ। ਸਰਵਰ ਪਰਖਣ ਲਈ ਕਲਾਇੰਟ ਨੂੰ ਇਹ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਸਦਾ ਵੰਡਣਾ ਆਮ ਹਾਲਤ ਹੈ, ਘਟਨਾ ਨਹੀਂ। ਇਸਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਨਾਲ CA ਦੀ ਨਿੱਜੀ ਦਸਤਖਤ ਕੁੰਜੀ ਪ੍ਰਕਾਸ਼ਿਤ ਨਹੀਂ ਹੁੰਦੀ, ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਨਵੀਆਂ ਪਛਾਣਾਂ ਬਣਾਉਣ ਦੀ ਸਮਰੱਥਾ ਦੇਣ ਵਾਲੀ ਵਸਤੂ ਉਹੀ ਹੈ।

ਇਹ ਫ਼ਰਕ ਟਿਕਟ ਵਿੱਚ ਸਪਸ਼ਟ ਲਿਖਣ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਲਗਾਤਾਰ ਮਿਲਾ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ। ਜਿਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦੇਣਾ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਲੀਕ ਹੋਈ ਫਾਈਲ ਸਰਟੀਫਿਕੇਟ ਹੈ ਜਾਂ ਦਸਤਖਤ ਕੁੰਜੀ, ਅਤੇ ਫਾਈਲ ਦੀ ਸਮੱਗਰੀ ’ਤੇ ਇੱਕ ਨਜ਼ਰ ਇਸਨੂੰ ਤੈਅ ਕਰ ਦਿੰਦੀ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਜਨਤਕ ਕੁੰਜੀ ਅਤੇ ਦਸਤਖਤ ਹੁੰਦੇ ਹਨ; ਦਸਤਖਤ ਕੁੰਜੀ ਇਸ ਵਿੱਚ ਬਿਲਕੁਲ ਨਹੀਂ ਦਿਸਦੀ।

ਵੰਡ ਨੂੰ ਅਜੇ ਵੀ ਸਾਵਧਾਨੀ ਚਾਹੀਦੀ ਹੈ। ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਪ੍ਰੋਫਾਈਲ ਵੰਡ ਮਾਰਗ ਰਾਹੀਂ ਸਰਟੀਫਿਕੇਟ ਮਿਲਣਾ ਚਾਹੀਦਾ ਹੈ, ਪੇਸਟ ਸਾਈਟ ਤੋਂ ਨਹੀਂ, ਅਤੇ ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲੇ ਮਾਰਗ ਰਾਹੀਂ ਆਉਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਰਾਹ ਵਿੱਚ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਪੀਅਰ ਕੁੰਜੀ ਅਤੇ tls-auth ਭੇਤ ਇੱਕ ਨਹੀਂ ਹਨ

ਪੀਅਰ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਪਛਾਣ ਦੀ ਸਮੱਗਰੀ ਹੈ। ਇਸਦੀ ਨਕਲ ਹੋਣ ਤੋਂ ਬਾਅਦ ਸਰਵਰ ਲੋੜੀਂਦੇ ਯੰਤਰ ਨੂੰ ਨਕਲ ਰੱਖਣ ਵਾਲੇ ਕਿਸੇ ਵੀ ਵਿਅਕਤੀ ਤੋਂ ਵੱਖ ਨਹੀਂ ਪਛਾਣ ਸਕਦਾ, ਕਿਉਂਕਿ ਦਿਖਾਇਆ ਜਾ ਰਿਹਾ ਗੁਣ ਵਿਸ਼ੇਸ਼ ਕਬਜ਼ਾ ਹੀ ਸੀ। ਅਧਿਕਾਰ ਜਾਰੀ ਰੱਖਣਾ ਅਤੇ ਬਦਲਣਾ VPN ਮਾਲਕ ਦੇ ਫੈਸਲੇ ਹਨ, ਫਾਈਲ ਲੱਭਣ ਵਾਲੇ ਦੇ ਨਹੀਂ।

tls-auth ਭੇਤ ਤੀਜੀ ਚੀਜ਼ ਹੈ। ਇਹ ਕੰਟਰੋਲ-ਚੈਨਲ ਪੈਕਟਾਂ ਦੁਆਲੇ HMAC ਪ੍ਰਮਾਣਿਕਤਾ ਜੋੜਦਾ ਹੈ ਤਾਂ ਜੋ ਗਲਤ ਤਰੀਕੇ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਪੈਕਟ TLS ਅਦਲ-ਬਦਲ ਤੋਂ ਪਹਿਲਾਂ ਹਟਾ ਦਿੱਤੇ ਜਾਣ, ਅਤੇ ਇਹ ਨਾ ਪੀਅਰ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਹੈ ਅਤੇ ਨਾ ਹੀ ਐਪਲੀਕੇਸ਼ਨ ਡਾਟਾ ਐਨਕ੍ਰਿਪਟ ਕਰਨ ਵਾਲੀ ਕੁੰਜੀ।

ਜੇ ਉਹ ਸਾਂਝਾ ਭੇਤ ਜਨਤਕ ਹੈ, ਤਾਂ ਇਸਨੇ ਦਿੱਤੀ ਰੁਕਾਵਟ ਇਸਨੂੰ ਰੱਖਣ ਵਾਲੇ ਹਰ ਵਿਅਕਤੀ ਲਈ ਚਲੀ ਗਈ। ਇਸ ਤੋਂ ਇਹ ਨਹੀਂ ਨਿਕਲਦਾ ਕਿ ਹਰ ਧਾਰਕ ਇਸਦੇ ਪਿੱਛੇ ਦੀਆਂ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਪਭੋਗਤਾ ਜਾਂਚਾਂ ਪਾਸ ਕਰਦਾ ਹੈ, ਇਸੇ ਲਈ ਵਰਗੀਕਰਨ ਅਲਾਰਮ ਪੱਧਰ ਤੋਂ ਵੱਧ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ। ਦੱਸੋ ਕਿਹੜੀ ਰੁਕਾਵਟ ਡਿੱਗੀ, ਅਤੇ ਦੱਸੋ ਕਿਹੜੀਆਂ ਬਾਕੀ ਹਨ।

ਜੋ ਭੂਮਿਕਾ ਲੀਕ ਹੋਈ ਉਸਦੀ ਮੁਰੰਮਤ ਕਰੋ, ਗੁਆਂਢੀ ਦੀ ਨਹੀਂ

ਫਾਈਲ ਦਾ ਨਾਮ ਬਦਲ ਕੇ ਜਾਂ ਡਾਊਨਲੋਡ ਲਿੰਕ ਲੁਕਾ ਕੇ ਸਾਂਝੇ ਭੇਤ ਨੂੰ ਦੁਬਾਰਾ ਨਿੱਜੀ ਨਹੀਂ ਬਣਾਇਆ ਜਾ ਸਕਦਾ। ਬਦਲਣ ਦਾ ਮਤਲਬ ਹੈ ਨਵਾਂ ਮੁੱਲ ਬਣਾ ਕੇ ਸਮਨਵਿਤ ਬਦਲਾਅ ਵਿੱਚ ਹਰ ਪੀਅਰ ਤੱਕ ਪਹੁੰਚਾਉਣਾ, ਅਤੇ ਸਿਰਫ਼ ਇੱਕ ਪਾਸਾ ਬਦਲਣ ਨਾਲ ਪੁਰਾਣਾ ਮੁੱਲ ਰੱਖਣ ਵਾਲੇ ਸਾਰਿਆਂ ਦਾ ਪ੍ਰਬੰਧ ਟੁੱਟ ਜਾਂਦਾ ਹੈ।

ਜੇ ਪੀਅਰ ਦੀ ਪਛਾਣ ਖੁੱਲ੍ਹ ਗਈ ਹੈ, ਤਾਂ ਉਸ ਪਛਾਣ ਲਈ ਆਪਰੇਟਰ ਦੀ ਰੱਦ ਅਤੇ ਮੁੜ-ਰਜਿਸਟਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆ ਵਰਤੋ। ਕਿਸੇ ਅਸੰਬੰਧਿਤ ਖਾਤੇ ਦਾ ਪਾਸਵਰਡ ਬਦਲਣ ਨਾਲ ਨਕਲ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਅਵੈਧ ਨਹੀਂ ਹੁੰਦਾ, ਅਤੇ tls-auth ਫਾਈਲ ਬਦਲਣ ਨਾਲ ਵੀ ਨਹੀਂ।

ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ’ਤੇ ਵੀ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਤੈਨਾਤ ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਕੀ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਜੋ ਰੱਦ ਸੂਚੀ ਤਾਜ਼ਾ ਨਹੀਂ ਹੁੰਦੀ, ਜਾਂ ਜੋ ਭੂਮਿਕਾ ਜਾਂਚ ਰੁਕਾਵਟ ਦੌਰਾਨ ਬੰਦ ਕੀਤੀ ਗਈ ਸੀ, ਉਹ ਜਵਾਬ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਦਲ ਦਿੰਦੀ ਹੈ। ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਨਕਲ ਨਹੀਂ, ਚੱਲ ਰਹੀ ਸੰਰਚਨਾ ਪੜ੍ਹੋ।

ਪਿਛਲੇ ਟ੍ਰੈਫਿਕ ਦਾ ਉਸਦੀਆਂ ਆਪਣੀਆਂ ਸ਼ਰਤਾਂ ’ਤੇ ਮੁਲਾਂਕਣ ਕਰੋ

ਖੁੱਲ੍ਹੀ ਫਾਈਲ ਆਪਣੇ ਆਪ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਪਹਿਲਾਂ ਫੜੇ ਗਏ ਸੈਸ਼ਨ ਡੀਕ੍ਰਿਪਟ ਹੋ ਸਕਦੇ ਹਨ ਜਾਂ ਨਹੀਂ। ਇਹ ਕੁੰਜੀ ਸਥਾਪਨਾ ਢੰਗ, ਖੁੱਲ੍ਹੀ ਸਮੱਗਰੀ ਅਤੇ ਇਸ ’ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜੇ ਰਿਕਾਰਡ ਮੌਜੂਦ ਹਨ, ਅਤੇ ‘ਸਾਰਾ ਟ੍ਰੈਫਿਕ ਗਿਆ’ ਤੇ ‘ਕੁਝ ਨਹੀਂ ਹੋਇਆ’—ਦੋਵੇਂ ਉਹਨਾਂ ਤੱਥਾਂ ਤੋਂ ਬਿਨਾਂ ਅੰਦਾਜ਼ੇ ਹਨ।

ਇਹ ਪੁੱਛਦਿਆਂ ਕਿ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਕਿਸ ਸ਼੍ਰੇਣੀ ਵਿੱਚ ਹੈ, ਇਸਦੀ ਇੱਕ ਹੋਰ ਨਕਲ ਪੋਸਟ ਨਾ ਕਰੋ। ਇਸਦੀ ਥਾਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਹਾਇਤਾ ਮਾਰਗ ਰਾਹੀਂ ਨਿਰਦੇਸ਼ਾਂ ਦੇ ਨਾਮ ਅਤੇ ਗੈਰ-ਗੁਪਤ ਮੈਟਾਡੇਟਾ ਸਾਂਝੇ ਕਰੋ।

ਲਾਭਦਾਇਕ ਸਿੱਟਾ ਵਸਤੂ, ਉਸਦੀ ਭੂਮਿਕਾ, ਗੁਆਚੀ ਸੁਰੱਖਿਆ ਅਤੇ ਲੋੜੀਂਦੀ ਸਮਨਵਿਤ ਕਾਰਵਾਈ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਛੋਟਾ ਕੁਝ ਸਿਰਲੇਖ ਹੈ, ਮੁਲਾਂਕਣ ਨਹੀਂ।