tls-auth او tls-crypt: په OpenVPN کې هر یو څه ساتي

دواړه انتخابونه یو شریک کلي فایل کاروي او دواړه د لاسوهنې ترافیک جعلول ستونزمنوي، نو ځکه د یوې ځانګړتیا دوه نومونه ګڼل کیږي۔ داسې نه ده۔ یو پر کنټرول پاکټونو لاسلیک کوي، بل هغه کوډ هم کوي، او هیڅ یو یې د هغه سایفر سره تړاو نه لري چې ستاسو معلومات ساتي۔

دا توپیر هغه وخت مهم دی چې پروفایل ونه شي نښلولای، کله چې امنیتي بیاکتنه پوښتنه کوي چې کلي څه ساتي، او کله چې څوک فکر کوي چې اضافي فایل تونل په یو ناڅرګند ډول کوډ شوی کوي۔

شریک کلي په رښتیا څه ساتي

هغه کلي چې دا انتخابونه کاروي د کنټرول چینل دی: هغه تبادله چې پر پیرامیټرونو خبرې کوي، هویتونه ثابتوي او د معلوماتو کلیانې راوباسي۔ دا له مخکې شریک شوی راز دی چې دواړه سرونه باید ولري مخکې له دې چې لاسوهنه دوام وکړي۔ ځکه چې دا د هویت له څیړنو مخکې دی، غلط کلي غلط پټنوم ته هم مخکې خبرې بندوي۔ همدا ترتیب څرګندوي چې د ناکامۍ ډول ولې دومره چوپ دی۔

tls-auth هغه راز کاروي ترڅو پر کنټرول پاکټونو HMAC محاسبه کړي۔ هغه پاکټ چې سم لاسلیک نلري د ډیر لګښت TLS پروسس ته له رسیدو مخکې غورځول کیږي، نو ځکه دا انتخاب اکثرا لومړی فلټر بلل کیږي، نه د TLS بدیل۔

tls-crypt ډیر مخکې ځي او ساتل شوی کنټرول ترافیک د تصدیق ترڅنګ کوډ هم کوي۔ د سندونو منځپانګه، هوکړه شوي سایفر نومونه او د لاسوهنې نور جزئیات نور پر شبکه نه ښکاري، او بې کلي کتونکی حتی نشي لیدلای چې کوم TLS نسخه ازمویل کیږي۔ هغه ځای پرځای کول چې د خپل VPN نښې ښکاریدو ویره لري، همدا ځانګړتیا یې د غوراوي اصلي لامل ده۔ دا لا هم ډله ییز راز دی، د هر کارونکي سند نه دی۔

هیڅ میکانیزم هویتونه نه صادروي۔ شریک کلي ډله ییز راز دی، او هر څوک چې یې لري د څیړنې هغه پوړ پوره کولای شي۔

دواړه انتخابونه چیرې توپیر لري

د لیدلو وړ توپیر دا دی چې کتونکی څه ویني۔ د tls-auth سره لاسوهنه ښکاري خو پرته له کلي نه شي تصدیق کیدای۔ د tls-crypt سره لاسوهنه د هغو چې کلي نلري ناڅرګنده ده۔

ترتیبات هم توپیر لري۔ tls-auth د لوري ارزښت سره کارول کیږي، نو یو اړخ د کلي موادو یوه نیمه کاروي او بل اړخ بله نیمه۔ tls-crypt په دواړو لورو کې یو کلي کاروي، نو د لوري لارښوونه د هغه په ترتیب کې نه ده۔

په نویو خپرونو کې دواړه انتخابونه یو بل ردوي۔ پروفایل باید یو له دواړو ولري، نه دواړه، او سرور او کلاینټ باید په یو شان کلي موادو سره هوکړه وکړي چې کوم یو۔ زوړ لارښوونه د نوي ترڅنګ ساتل د مهاجرت عام پاتې شوی دی۔ غیر فعاله لرې کړئ ترڅو بل لوستونکی پوه شي چې کوم پوړ په رښتیا نافذ دی۔

نوی ډول، tls-crypt-v2، هر کلاینټ خپل پوښل شوي کلي سره تړي ترڅو د یو کلاینټ لغوه کول د ډلې کلي بیا صادرولو ته اړتیا ونلري۔ د پوهیدو وړ ده، خو دا بل انتخاب دی او د دلته دواړو هیڅ یوه هممانا نه ده۔

ولې نه سمون داسې ښکاري لکه هیڅ نه کیږي

کله چې شریک مواد سره سم نه وي، بل سر پاکټونه غورځوي بې له دې چې لیږونکي ته لامل ووایي۔ د لوستلو لپاره هیڅ تصدیق تېروتنه نشته، ځکه پاکټ هېڅکله هغه پوړ ته نه دی رسیدلی چې جوړ به یې کړي۔

کلاینټ بیا هڅه کوي، سرور هیڅ نه وایي، او نښه د شبکې ستونزه ښکاري۔ بیا خلک خدمت بیا پیلوي، د حساب پټنوم بیا لیکي، یا د «ازموینې» لپاره د ساتنې لارښوونه لرې کوي، چې د تشخیص پرځای ځای پرځای کول بدلوي۔

په سرور لاګ کې د وروستي بیا هڅې کرښې پرځای لومړنی د پاکټ کچې شکایت ولولئ۔ تایید کړئ چې دواړه اړخونه یو شان ورته انتخاب او یو شان کلي مواد لري او کلي فایل یوازې په یو اړخ بیا نه دی جوړ شوی۔

لارښوونه لرې کول خوندي ترمیم نه دی۔ دا د هر کلاینټ لپاره د ساتنې یو پوړ بندوي، او بیا چلیدونکی تونل یوازې دا ثابتوي چې هماغه پوړ نه سمون و۔

لا هم څه باید جلا تنظیم شي

دا انتخابونه نه تاییدوي چې بل سر څوک دی۔ د سند تصدیق، د باور لنگر او تمه شوی سرور نوم جلا غوښتنې پاتې کیږي، او د شریک کلي شتون له امله هیڅ یو یې اختیاري نه کیږي۔

دوی د معلوماتو سایفر هم نه ټاکي۔ دا جلا خبرې اترې دي چې د دواړو سرونو د معلوماتو چینل تنظیمات یې کنټرولوي، او د tls-crypt سره ساتل شوی تونل لا هم کولای شي هغه سایفر وکاروي چې تاسو یې نه وو غوښتې۔

په پای کې، شریک کلي خپله پاملرنې ته اړتیا لري۔ د راز په څېر ورسره چلند وکړئ، د تصویب شوي چینل له لارې یې وویشئ، او کله چې هر څوک چې دا یې درلود ویښ شي یې بدل کړئ۔ ځکه چې دا شریک دی، افشا کیدل یې د هر هغه سر افشا کیدل دي چې دا کاروي۔