آیا هغه خپور شوی OpenVPN کیلي CA ده، د سیال کیلي ده که tls-auth؟

یو څوک راپور ورکوي چې VPN کیلي عامه ده، او دا جمله درې بشپړ توپیر لرونکي حالتونه پټوي۔ دا کېدای شي د CA سند وي چې هر کليانټ باید ولري، یو شخصي هویت کیلي چې باید هېڅکله له یوې ماشین څخه ونه وځي، یا یو شریک کنټرول-چینل راز چې دواړه سرونه باید وساتي۔ ترمیم، بیړنۍ او د زیان پراخوالی په هر حالت کې توپیر لري، نو لومړی کار طبقه‌بندي ده، نه عمل۔ که ډله غلطه وي، هر بل ګام بې ګټې کار دی۔

له لارښوونې پیل وکړئ، نه له دوتنې نوم

فعاله ترتیبات ولولئ او ومومئ کومه لارښوونه اړوند توکي ته اشاره کوي۔ د OpenVPN TLS اختیارونه د باوري سند توکو لپاره ca، د ځایي سیال سند لپاره cert او د هغې اړوند شخصي کیلي لپاره key کاروي۔

دوتنې نومونه هېڅ نه ثابتوي۔ د key.pem په نوم دوتنه کې کېدای شي سند وي، او په پروفایل کې دننه بلاک کېدای شي هماغه شی ولري چې په ډیسک کې جلا دوتنه لري۔ دوتنه پرانیزئ او د هغې سرلیک وګورئ، د نوم باور پرځای۔ همدا یوه کتنه د راپور ډېره ابهام لرې کوي۔

که پروفایل د PKCS#12 بنډل وي، په کنټرول شوې ځای کې یې پرانیزئ ترڅو وګورئ چې واقعاً څه لري۔ یو بنډل کېدای شي سند، د هغې زنځیر او شخصي کیلي ولري، یعنې د بنډل افشا د درېواړو افشا ده۔

مخکې له دې چې څوک دوتنه بدله کړي طبقه‌بندي ولیکئ: شی، لارښوونه، کوم سیالان یې ساتي او څوک یې لوستلی شي۔ پاتې ټول ځواب پر همدې جمله ولاړ دی۔

د CA سند د شریکولو لپاره جوړ شوی

عامه CA سند د باور توکی دی۔ کليانټان یې د سرور تصدیق لپاره اړتیا لري، او توزیع یې نورمال حالت دی، نه پېښه۔ خپرول یې د CA شخصي لاسلیک کیلي نه خپروي، او هماغه شی دی چې بریدګر ته د نوي هویت جوړولو اجازه ورکوي۔

دا توپیر په ټیکټ کې په روښانه توګه لیکل ارزښت لري، ځکه دواړه تل ګډېږي۔ هغه پوښتنه چې باید ځواب شي دا ده چې افشا شوې دوتنه سند دی که لاسلیک کیلي، او دوتنې منځپانګې ته یوه چټکه کتنه یې حل کوي۔ سند کې عامه کیلي او لاسلیک وي؛ لاسلیک کیلي په کې هېڅ نه ښکاري۔

توزیع بیا هم پاملرنې ته اړتیا لري۔ کليانټان باید سند د تصویب شوې پروفایل سپارلو لارې ترلاسه کړي، نه د پیسټ سایټ څخه، او هغه سند چې د ناباوره لارې راشي په لاره کې بدلېدلی شي۔

د سیال کیلي او tls-auth راز یو نه دي

د سیال شخصي کیلي د هویت توکی دی۔ کله چې کاپي شي، سرور نور نشي کولی ټاکل شوې وسیله له هر هغه چا څخه توپیر کړي چې کاپي لري، ځکه ځانګړی ملکیت هغه ځانګړنه وه چې ښودل کېده۔ د اجازې دوام او بدلون د VPN مالک پریکړې دي، نه د هغه چې دوتنه یې موندلې ده۔

د tls-auth راز دریم شی دی۔ دا د کنټرول-چینل پاکټونو شاوخوا HMAC تصدیق زیاتوي ترڅو ناسم تصدیق شوي پاکټونه د TLS تبادلې دمخه وغورځول شي، او دا نه د سیال شخصي کیلي ده او نه هغه کیلي چې د اپلیکیشن ډاټا کوډ کوي۔

که هغه شریک راز عامه وي، هغه خنډ چې یې ورکاوه د هغې لرونکو ټولو لپاره ولاړ۔ له دې نه دا نه ترلاسه کېږي چې هر لرونکی د هغې شاته د سند او کاروونکي کتنې تېروي، نو ځکه طبقه‌بندي له الارم کچې مهمه ده۔ ووایاست کوم خنډ ولویډېد او کوم یې پاتې دي۔

هغه رول ترمیم کړئ چې افشا شو، نه ګاونډی رول

شریک راز د دوتنې نوم بدلولو یا د ډاونلوډ لینک پټولو سره بیا شخصي کېدلی نشي۔ بدلون یعنې نوی ارزښت جوړول او په همغږي بدلون کې هر سیال ته رسول، او یوازې یو اړخ بدلول د زوړ ارزښت لرونکو ټولو لپاره تړون ماتوي۔

که د سیال هویت افشا شو، د هغه هویت لپاره د چلونکي لغوه او بیا ثبت پروسه وکاروئ۔ د نامرتبط حساب پټنوم بدلول کاپي شوی سند باطل نه کوي، او tls-auth دوتنه بدلول هم نه۔

مخکې له دې چې پر یوې برخې یې تکیه وکړئ، تایید کړئ چې ځای پرځای شوی سرور واقعاً څه پلي کوي۔ هغه لغوه لیست چې تازه نه شي، یا هغه رول کتنه چې د خنډ پر مهال غیرفعاله شوې وه، ځواب بشپړ بدلوي۔ د زېرمې کاپي نه، روانه ترتیبات ولولئ۔

تېر ترافیک په خپلو شرایطو محاکمه کړئ

افشا شوې دوتنه په خپله نه وایي چې مخکې نیول شوې غونډې کوډ کېدلی شي که نه۔ دا د کیلي جوړولو طریقي، افشا شوې توکي او د موجود ریکارډونو پورې اړه لري، او «ټول ترافیک ورک شو» او «هېڅ ونه شو» دواړه پرته له دغو حقایقو اټکلونه دي۔

کله چې پوښتئ اعتبارنامه کومې ډلې ته اړه لري، بله کاپي یې مه خپروئ۔ پرځای یې د لارښوونو نومونه او نه-پټ میټاډاټا د تصویب شوې ملاتړ لارې شریک کړئ۔

ګټوره پایله شی، د هغې رول، له لاسه ورکړی محافظت او اړین همغږي عمل نوموي۔ له دې لنډ هر څه سرلیک دي، نه ارزونه۔