OpenVPN ਪੈਕਟ HMAC ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲ: ਕਿਹੜੀ ਪਰਤ?

ਦੋ ਅਸਫਲਤਾਵਾਂ ਇੱਕੋ ਸ਼ਬਦਾਵਲੀ ਵਿੱਚ ਦੱਸੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚ ਲਗਭਗ ਕੁਝ ਵੀ ਸਾਂਝਾ ਨਹੀਂ ਹੈ। ਇੱਕ ਉਹ ਪੈਕਟ ਹੈ ਜਿਸ ਦਾ ਪ੍ਰਮਾਣਿਕਤਾ ਟੈਗ ਤਸਦੀਕ ਨਹੀਂ ਹੋਇਆ; ਦੂਜਾ ਉਹ ਵਿਅਕਤੀ ਹੈ ਜਿਸ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਰੱਦ ਕੀਤੇ ਗਏ। ਪਹਿਲੇ ਨੂੰ ਦੂਜਾ ਮੰਨਣ ਨਾਲ ਤੁਸੀਂ ਉਸ ਪਾਸਵਰਡ ਦੀ ਭਾਲ ਵਿੱਚ ਜਾਂਦੇ ਹੋ ਜੋ ਕਦੇ ਸਮੱਸਿਆ ਨਹੀਂ ਸੀ।

ਸੁਨੇਹਾ ਇੱਕ ਪਰਤ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਲਾਭਦਾਇਕ ਕੰਮ ਇਹ ਹੈ ਕਿ ਕੋਈ ਵੀ ਸਮੱਗਰੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਕਿਹੜੀ ਪਰਤ ਹੈ ਇਹ ਤੈਅ ਕਰਨਾ। ਉਮੀਦਵਾਰਾਂ ਦੀ ਕੋਲ-ਕੋਲ ਤੁਲਨਾ ਕਰਨਾ ਫ਼ਰਕ ਵੇਖਣ ਦਾ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ।

ਇੱਕ ਸ਼ਬਦ ਸਾਂਝਾ ਕਰਨ ਵਾਲੀਆਂ ਦੋ ਅਸਫਲਤਾਵਾਂ

ਟ੍ਰੈਫਿਕ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਪੈਕਟ-ਪ੍ਰਮਾਣਿਕਤਾ ਦੋਸ਼ ਉੱਠਦਾ ਹੈ: ਪ੍ਰਾਪਤ ਪੈਕਟ ਉੱਤੇ ਟੈਗ ਜਾਂ ਡਾਈਜੈਸਟ ਉਸ ਨਾਲ ਨਹੀਂ ਮਿਲਿਆ ਜੋ ਪ੍ਰਾਪਤਕਰਤਾ ਨੇ ਗਿਣਿਆ ਸੀ। ਖਾਤਾ ਰੱਦ ਕਰਨਾ ਲੌਗਇਨ ਅਦਲਾ-ਬਦਲੀ ਦੇ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਬਾਅਦ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਪੈਕਟ ਦੀ ਥਾਂ ਵਰਤੋਂਕਾਰ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ। ਤੀਜਾ ਸੁਨੇਹਾ, ਆਉਂਦੇ ਪੈਕਟ ਵਿੱਚ HMAC ਨਾ ਲੱਭਣ ਬਾਰੇ, ਫਿਰ ਵੱਖਰਾ ਹੈ, ਕਿਉਂਕਿ ਉੱਥੇ ਪੈਕਟ ਬਿਨਾਂ ਉਮੀਦ ਕੀਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਤੱਤ ਦੇ ਹੀ ਆਇਆ ਸੀ। ਪੂਰਾ ਲੌਗ ਪ੍ਰੀਫਿਕਸ ਦੱਸਦਾ ਹੈ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜਾ ਹੈ, ਅਤੇ ਟਿਕਟ ਵਿੱਚ ਦੋਸ਼ ਚਿਪਕਾਉਂਦਿਆਂ ਆਮ ਤੌਰ 'ਤੇ ਪ੍ਰੀਫਿਕਸ ਹੀ ਪਹਿਲਾਂ ਹਟਾਇਆ ਜਾਂਦਾ ਹੈ।

ਇਹ ਫ਼ਰਕ ਮੁਰੰਮਤ ਬਦਲ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਨੂੰ ਚੈਨਲ ਸੈਟਿੰਗਾਂ ਦਾ ਮੇਲ ਚਾਹੀਦਾ ਹੈ, ਦੂਜੇ ਨੂੰ ਖਾਤੇ ਦੀ ਸਥਿਤੀ, ਅਤੇ ਤੀਜੇ ਨੂੰ ਉਸ ਲਿਸਨਰ ਨਾਲ ਨਾ ਮਿਲਦੀ ਪ੍ਰੋਫਾਈਲ ਜਿੱਥੇ ਇਹ ਪੁੱਜੀ।

ਚੱਲਦੀ ਪ੍ਰਕਿਰਿਆ ਨੇ ਅਸਲ ਵਿੱਚ ਕੀ ਲੋਡ ਕੀਤਾ, ਇਸ ਦੀ ਤੁਲਨਾ ਕਰੋ

ਡਿਸਕ ਉੱਤੇ ਸਹੀ ਫਾਈਲ ਇਸ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਉਹ ਪ੍ਰਕਿਰਿਆ ਜੋ ਇਸ ਨੂੰ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੁਰੂ ਹੋਈ ਸੀ। ਚੁਣੀ ਗਈ ਪ੍ਰੋਫਾਈਲ, ਸੰਪਰਕ ਕੀਤਾ ਅੰਤ ਬਿੰਦੂ, ਅਤੇ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਸੇਵਾ ਦੁਬਾਰਾ ਲੋਡ ਹੋਈ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਜਾਂਚੋ। ਇਹ ਵੀ ਪੱਕਾ ਕਰੋ ਕਿ ਅੰਤ ਬਿੰਦੂ ਉਸੇ ਪ੍ਰੋਫਾਈਲ ਦਾ ਹੈ, ਕਿਉਂਕਿ ਕੋਈ ਹੋਰ ਇੰਸਟੈਂਸ ਜਾਂ ਹੋਰ ਸੇਵਾ ਉੱਥੇ ਸੁਣ ਰਹੀ ਹੋ ਸਕਦੀ ਹੈ ਜਿੱਥੇ ਪੁਰਾਣੀ ਫਾਈਲ ਕੁਝ ਹੋਰ ਉਮੀਦ ਕਰਦੀ ਹੈ।

ਇੱਕੋ ਸਰੋਤ ਤੋਂ ਸਮਰਥਿਤ ਪ੍ਰੋਫਾਈਲ ਦੁਬਾਰਾ ਨਿਰਯਾਤ ਕਰਨਾ ਸਸਤੀ ਤੁਲਨਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਤੁਹਾਡੇ ਕਨਫਿਗਰ ਮੰਨੇ ਅਤੇ ਕਲਾਇਟ ਵਾਸਤਵ ਵਿੱਚ ਭੇਜਦਾ ਹੈ ਵਿਚਕਾਰਲਾ ਅੰਤਰ ਹਟਾ ਦਿੰਦਾ ਹੈ। ਨਵੀਂ ਕੁੰਜੀ ਸਮੱਗਰੀ ਬਣਾਉਣਾ ਬਹੁਤ ਵੱਡਾ ਕਦਮ ਹੈ, ਅਤੇ ਇਹ ਤਦ ਹੀ ਮਦਦ ਕਰਦਾ ਹੈ ਜਦੋਂ ਦੋਵੇਂ ਸਿਰੇ ਇਸ ਨੂੰ ਇਕੱਠੇ ਅਪਣਾਉਣ। ਇੱਕ ਪਾਸੇ ਨੂੰ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਬਦਲਣਾ ਉਹੀ ਨਾ-ਮੇਲ ਦੁਬਾਰਾ ਬਣਾ ਦਿੰਦਾ ਹੈ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਹਟਾਉਣਾ ਚਾਹੁੰਦੇ ਸੀ।

ਕੰਟਰੋਲ ਚੈਨਲ ਦੀ ਡੇਟਾ ਚੈਨਲ ਨਾਲ ਤੁਲਨਾ ਕਰੋ

ਦੋ ਵਿਧੀਆਂ ਕਨੈਕਸ਼ਨ ਦੇ ਵੱਖ-ਵੱਖ ਹਿੱਸਿਆਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦੀਆਂ ਹਨ ਅਤੇ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਕਨਫਿਗਰ ਹੁੰਦੀਆਂ ਹਨ, ਜਿਵੇਂ 2.6 ਵਿਕਲਪ ਸੰਦਰਭ ਦੱਸਦਾ ਹੈ। tls-auth ਕੰਟਰੋਲ-ਚੈਨਲ ਪੈਕਟਾਂ ਵਿੱਚ HMAC ਜੋੜਦੀ ਹੈ ਅਤੇ ਅਜਿਹੀ ਦਿਸ਼ਾ-ਦਲੀਲ ਲੈਂਦੀ ਹੈ ਜੋ ਦੋ ਪੀਅਰਾਂ ਉੱਤੇ ਉਲਟ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਜਦੋਂ ਕਿ tls-crypt ਇਸ ਦੀ ਥਾਂ ਕੰਟਰੋਲ ਚੈਨਲ ਨੂੰ ਸਾਂਝੀ ਕੁੰਜੀ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰਦੀ ਹੈ। ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਡੇਟਾ ਚੈਨਲ ਦੀ ਆਪਣੀ ਅਖੰਡਤਾ ਜਾਂਚ ਨਹੀਂ ਹੈ। AEAD ਡੇਟਾ ਸਾਈਫਰ ਨਾਲ ਉਹ ਜਾਂਚ ਸਾਈਫਰ ਵਿੱਚ ਹੀ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ, ਇਸ ਲਈ auth ਵੱਖਰਾ ਡਾਈਜੈਸਟ ਉਸ ਤਰ੍ਹਾਂ ਨਹੀਂ ਵਰਤਿਆ ਜਾਂਦਾ ਜਿਵੇਂ ਗੈਰ-AEAD ਸਾਈਫਰ ਨਾਲ ਹੁੰਦਾ ਹੈ।

ਭਾਵ, ਚੱਲ ਰਹੀ ਗੈਰ-AEAD ਤੈਨਾਤੀ ਤੋਂ ਨਕਲ ਕੀਤੀ auth ਲਾਈਨ AEAD ਤੈਨਾਤੀ ਵਿੱਚ ਅਪ੍ਰਸੰਗਿਕ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ AEAD ਤੈਨਾਤੀ ਕੰਟਰੋਲ ਚੈਨਲ ਉੱਤੇ ਫਿਰ ਵੀ ਅਸਫਲ ਹੋ ਸਕਦੀ ਹੈ, ਜੇ tls-auth ਕੁੰਜੀ ਜਾਂ ਉਸ ਦੀ ਦਿਸ਼ਾ ਗਲਤ ਹੋਵੇ। ਹਰ ਸੈਟਿੰਗ ਦੀ ਤੁਲਨਾ ਪੀਅਰ ਨਾਲ ਕਰੋ, ਯਾਦ ਰੱਖੀ ਕਨਫਿਗਰੇਸ਼ਨ ਨਾਲ ਨਹੀਂ।

ਮੁਰੰਮਤ ਦੀ ਤੁਲਨਾ ਉਸ ਗੁਣ ਨਾਲ ਕਰੋ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਛੱਡ ਰਹੇ ਹੋ

ਪੈਕਟ ਪ੍ਰਮਾਣਿਕਤਾ ਬੰਦ ਕਰਨ ਨਾਲ ਚੇਤਾਵਨੀ ਚੁੱਪ ਹੋ ਜਾਂਦੀ ਹੈ ਅਤੇ ਨਾ-ਮੇਲ ਲੱਭਣ ਵਾਲੀ ਜਾਂਚ ਹਟ ਜਾਂਦੀ ਹੈ, ਜੋ ਪ੍ਰੋਫਾਈਲ ਮੁਰੰਮਤ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ। ਪੁੱਛੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਗੁਣ ਛੱਡ ਰਹੇ ਹੋ ਅਤੇ ਕੀ ਡਿਜ਼ਾਈਨ ਉਸ ਤੋਂ ਬਿਨਾਂ ਵੀ ਖੜ੍ਹਦਾ ਹੈ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਸਿਰਿਆਂ ਉੱਤੇ ਪਹਿਲੀ ਸੰਬੰਧਿਤ ਘਟਨਾ ਪੜ੍ਹੋ, ਫਿਰ ਸਿਰਫ਼ ਉਹੀ ਨਾ-ਮੇਲ ਬਦਲੋ ਜਿਸ ਦਾ ਉਹ ਨਾਮ ਲੈਂਦਾ ਹੈ।

ਜੇ ਅਗਲੀ ਕੋਸ਼ਿਸ਼ ਸਰਟੀਫਿਕੇਟ ਜਾਂ ਲੌਗਇਨ ਦੋਸ਼ ਤੱਕ ਪਹੁੰਚਦੀ ਹੈ, ਤਾਂ ਉਹ ਗਿਰਾਵਟ ਨਹੀਂ, ਤਰੱਕੀ ਹੈ: ਪੈਕਟ ਪਰਤ ਹੁਣ ਸਹਿਮਤ ਹੈ ਅਤੇ ਕਨੈਕਸ਼ਨ ਅੱਗੇ ਵਧਿਆ ਹੈ। ਜਿਨ੍ਹਾਂ ਸੈਟਿੰਗਾਂ ਨੇ ਬਦਲਾਅ ਲਿਆਇਆ ਉਹ ਦਰਜ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਬੁਝਾਰਤ ਦੀ ਥਾਂ ਵਿਆਖਿਆ ਵਿਰਾਸਤ ਵਿੱਚ ਪਾਵੇ।