ایا د VPN ناکامه لاس ورکول واقعاً د کمولو برید دی؟

هغه لاس ورکول چې په تېروتنه پای ته رسېږي تر هغې چې پیغام ونه ګورئ برید ښکاري، او ډېری وخت دا حساب دی: ګډ وړاندیز نشته، سند پای ته رسېدلی، یا هغه بسته چې هېڅکله ونه رسېده. د کمولو برید یو ځانګړی شی دی: سیال دواړه خواوې هغې کمزورې چلند ته ټېل وهي چې دوی به نه و ټاکلې، او بېل شواهد پرېږدي. هر ناکامي بدغېږي ګڼل تاسې د هغې قرباني په لټه کې کوي چې ممکن نه وي، خو ریښتینی کمول د ترتیب غلطي ګڼل کمزوری پایله په خپل ځای پرېږدي. دا دواړه غلطۍ بېل بیه لري، او یوازې یوه یې ارزانه سمېدای شي.

د کمولو برید په رښتیا څه بدلوي

هدف د کوډ ماتول نه دي او نه د کیلي اټکل. هدف دا دی چې پر خبرو اترو اغېزه وکړي تر څو دواړه خواوې پر زوړ نسخه یا کمزوری الګوریتم ودرېږي چې بریدګر یې زغملی شي، یا یوه خوا باور وکړي چې بله یوازې هماغه ملاتړ کوي.

څه چې بدلېږي هغه تړون دی، نه تصدیق. که بریدګر وړاندیز پرته له کشفېدو بدلولی شي، خواوې لا هم لاس ورکول بشپړولی شي او لا هم یو بل تصدیقولی شي، خو هغو پارامیټرونو سره چې بریدګر یې غواړي. له همدې امله زړه راښکونکې پوښتنه دا ده چې ایا خبرې اترې پخپله د بشپړتیا ساتنې لاندې دي که نه.

ولې خبرې اترې پخپله تصدیقېدل غواړي

TLS 1.3 هغه ساتنه څرګنده کوي. هغه کلاېنټ چې نوی نسخه یې وړاندیز کړی وي کولای شي هغه سرور وپېژني چې غلی شاته شوی وي، ځکه چې د سرور ناڅاپي ارزښت 1.2 یا تر هغې ټیټې کچې خبرو کې ثابته بڼه لري، او کلاېنټ باید دا وګوري او ودروي. ټوله ټرانسکریپټ هم د پای پیغامونو پوښل شوې ده، نو په هر ځای کې بدلون وروسته ناکامېږي، غلی نه تېرېږي.

زوړ پروتوکول نسخې کمزورې کیسې درلودې، او همدې لپاره د شاته تګ قواعد مهم دي. په همدې ترتیب کې TLS 1.0 پای ټکی د کمولو برید نه دی؛ دا یو اجازه شوی پایله ده چې تاسې پخپله اجازه ورکول غوره کړي. توپیر دا دی چې کمزورې پایله له ساتل شوې پرېکړې راغله که له نه ساتل شوې لارې چې منځګړی یې اغېزه کولی شوه. کله چې داسې بیان کړئ، ډېری پېښې د ترتیب پوښتنې ته راټیټېږي.

IKEv2 بېل چلند کوي خو پر همدې مفکورې ولاړ دی. وړاندیز په هغه تبادله کې وړل کېږي چې وروسته دواړه خواوې تصدیقوي، نو هغه منځنی بکس چې الګوریتمونه بیا لیکي تصدیق ماتوي نه یې لارښوونه کوي. د OpenVPN کنټرول چینل خپله خبرې اترې له TLS سره ساتي او بیا هماغه چینل د ډیټا چینل د کوډونو لپاره کاروي، له همدې امله د کنټرول چینل لاګ کرښه زړه راښکونکې ده.

ترتیب شوې مطابقت برید نه دی

پازوال کولای شي په قصد پخواني انتخابونه اجازه کړي تر څو مستند کلاېنټ ملاتړ کړي، او هغه پرېکړه په ترتیب کې ښکاري. بریدګر نشي کولی دا ترتیب جوړ کړي؛ یوازې هغه لار کارولی شي چې وړاندیز ته د اغېز اجازه ورکوي.

خطرناک سمون هغه دی چې د توپیر شاهد لرې کوي. هر زوړ انتخاب فعالول، د سند تصدیق بندول یا د هغې تېروتنې د ورکېدو لپاره هر کوډ منل هغه حد پراخوي چې پای ټکی به یې ومني، او هغه څېړنې لرې کوي چې کمزورې پایله به یې راپور کړې وه.

که باید یو زوړ انتخاب وساتئ، دلیل او کلاېنټ د ترتیب تبصره کې ولیکئ، بیا انتخاب هغه پروفایل ته محدود کړئ چې ورته اړتیا لري. یوه اورېدونکي ته محدوده مطابقت استثنا د پلټنې وړ ده؛ هغه چې ټولې نړۍ ته پلي شي یوازې کمزوری تلوالې دی چې هیڅوک نه یادېږي چې غوره کړی یې دی.

د دلیل نومولو دمخه ناکامي ولولئ

له هر بدلون دمخه دقیقه تېروتنې کرښه، د کلاېنټ او سرور نسخې او وخت وساتئ. بیا ډلبندي کړئ: ایا خواوې پر وړاندیز سره نه یوځای شوې، د بستې لار ناکامه شوه، که یوې خوا هغه پارامیټر رد کړ چې پخوا یې منلو؟

د وړاندیز ناسم مطابقت معمولاً ګناهکارې نسخې یا الګوریتمونه نوموي او هر ځل په هماغه ټکي ناکامېږي. د لارښوونې یا MTU ستونزه ودرېږي یا وخت تېر شي، او ډېری وخت د شبکې له مخې بدلېږي. پای ته رسېدلی سند د خبرو اترو نه، د تصدیق تېروتنه ورکوي.

له دې هیڅ یو د بریدګر شاهد نه دی. په لومړنۍ ناکامۍ کې بدغېږي دلیل ګڼل هغه غلطي ده، ځکه هغه ټاکلې نیمګړتیا پټوي چې سبا به بیا ناکامه شي.

تایید کړئ چې په رښتیا څه غوره شو

له هر سمون وروسته د اړیکې د پورته کېدو باور پر ځای خبرې شوې پایله ولولئ. هغه اړیکه چې د تصدیق د لرې کولو له امله بریالۍ شي هماغه پایله ده چې تاسې ترې ډډې کولې. لاندې دوه کمانډونه د TLS مخې ته پای ټکي لپاره غوره شوې نسخه او کوډ، او همدارنګه د OpenVPN سرور لاګ څخه د کنټرول چینل کرښه ښیي.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

پایله له هغه ترتیب سره پرتله کړئ چې تاسې یې غوښتل، نه له هغه چې اوس نښلېږي. که غوره شوې نسخه له اجازه شوې لږترلږه زوړ وي، پروفایل یا د شاته تګ لړلیک هغه ځای دی چې باید وکتل شي، او ځواب هماغه لړلیک سمول دي، نه د برید اعلان او شاوخوا هر څه بیا جوړول.