OpenVPN tls-crypt-v2: د کلاینټ کیلي او پوښل شوي blob څه کوي
د tls-crypt-v2 پروفایل د کلاینټ کنټرول کیلي او یوه پوښل شوې کاپي لري چې یوازې سرور یې خلاصولی شي. هر شی او د لیرې کولو هر ګام جلا وساتئ.
د tls-crypt-v2 پروفایل په ټیکټ کې څرخول تر هغه بې زیانه ښکاري چې وشمېرئ څه په فایل کې دي۔ د کلاینټ د کنټرول چینل کیلي د هماغې کیلي د کوډ شوې کاپي ترڅنګ ده، او دریم شی، د پوښلو کیلي، هېڅکله د منلو سرور نه نه وځي۔ دا درې د ساتنې، شریکولو او لیرې کولو په اړه بېلابېلو پوښتنو ته ځواب وایي۔ د دوی جلا کول ډېری د تګلارې بحثونه له پیل مخکې حل کوي۔
پروفایل واقعاً څه لري
د tls-crypt-v2 کلاینټ نیمه برخه یوه کیلي او د هغې پوښل شوې کاپي ده۔ کلاینټ د کنټرول چینل د ساتنې لپاره ساده کیلي کاروي او د تنظیم پر مهال پوښل شوې کاپي سرور ته ورکوي، نو سرور هماغه کیلي بېرته ترلاسه کوي پرته له دې چې د هر کلاینټ لپاره روښانه کاپي وساتي۔ د پوښلو کیلي هغه بېرته ترلاسه کول ممکن کوي او یوازې د منلو خوا پورې اړه لري۔ لاندې هر څه د دې له مخې دي چې هغه درې شیان چېرته ژوند کوي۔
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
جدول د نوم له مخې نه، بلکې د ساتنې له مخې ولولئ او پایلې پخپله څرګندېږي۔ د پوښلو کیلي له لاسه ورکول ګران پېښه ده، ځکه چې په پروفایل کې هېڅ شی نشي کولی بیا یې جوړ کړي او صادقانه بېرته ترلاسه کول د ګروپ بیا خپرول دي۔ توی شوی پروفایل ارزانه دی خو ډېر عام دی، ځکه خلک پروفایلونه په ټیکټونو کې څرخوي په دې باور چې پوښل شوې کاپي فایل د شریکولو لپاره خوندي کوي۔ دوه ناکامۍ بېلابېل ځوابونه غواړي، او له همدې امله شیان جلا ساتل کیږي۔
ولې پوښل شوې کاپي ټوله کیسه نه ده
پروفایل د کارېدونکي کلاینټ مواد د خپل پوښل شوي جوړې سره یوځای وړي، نو د سرور لپاره د کاپي ساتل د فایل د ساتنې په اړه هېڅ نه وایي۔ Blob لېږلو لپاره خوندي او خپرولو لپاره ناخوندي دی۔ په هغې کې میټاډاټا هر هغه چاته ښکاري چې blob ترلاسه کوي، په شمول هر هغه چې وروسته هغه ټیکټ ولولي چې په هغې کې څرخول شوی و۔
پروفایل د تنظیماتو نمونې نه، بلکې د اعتبار سند په توګه وګڼئ۔ توی شوی فایل خپل لرونکي ته کاري کلاینټ هویت ورکوي تر هغه چې سرور هغه هویت منل بند کړي، او پوښل د هغې مودې په اړه هېڅ نه کوي۔ د هر کلاینټ لپاره یو پروفایل خپور کړئ ترڅو لیرې کول د یوې فایل پریکړه پاتې شي، او د پوښلو کیلي بیک اپ د هغه سرور تنظیماتو څخه جلا واخلئ چې هغه یې ممکن کوي۔ دواړه عادتونه زیانمن شوی پروفایل نه جوړوي، خو دواړه پرېکړه کوي چې بل څومره ژر مهار شي۔
په لاس ورکولو کې د تصدیق کنځل چېرته ناست دی
د تصدیق کنځل د TLS سټیک له افشا مخکې چلیږي، او د هغې دنده په پوښل شوي blob کې د وړل شوو میټاډاټا کتنه ده۔ هغه هغه میټاډاټا او یوه کوچنۍ، مستنده چاپېریال ترلاسه کوي، او د تصدیق کنځل په پرتله یې کار کول کم مواد لري۔ دا انګیرنه چې هغه کارن نومونه، د غونډې حالت یا د پلگ ان بدلونکي ویني، د دې کنځل د بد لیکلو معمول لاره ده۔ د بل کنځل څخه تمې پور اخیستلو پرځای د کنځل خپله لارښود برخه ولولئ۔
د هغې وتلې حالت پریکړه ده: غیر صفر پایله کلاینټ ردوي او صفر پایله لاس ورکول دوام ته پرېږدي۔ له همدې امله تګلاره باید ووایي چې کله میټاډاټا ورکې وي، تحلیل نشي یا ناڅاپي وي څه پېږي۔ لومړی د رد لاره ولیکئ، بیا پرېکړه وکړئ چې کوم ارزښتونه منل کېدای شي۔
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shهغه دوه کرښې په سرور کې د تګلارې سطحه ده: یوه د پوښلو کیلي نوموي، بله هغه پروګرام نوموي چې هر کلاینټ ارزوي۔ هر څه چې په زړه پوري دي په سکریپټ کې ژوند کوي، چې د نسخې کنټرول او د هر بل لاسرسي قاعده په څېر کتنې وړ دی۔
حساب، سند او کنټرول کیلي جلا لیرې کیږي
د کنټرول چینل ژر منل تصدیق نه دی، ځکه چې دا د TLS هویت له کتنې مخکې او د هر حساب له اجازې مخکې پېږي۔ حساب غیر فعالول، سند لغوه کول او د کلاینټ کنټرول کیلي ردول درې کړنې له درې میکانیزمونو سره دي۔ هغه ځای پرځای کول چې یوازې یوه یې کوي، تګلاره نه بلکې تشه لري۔ درې واړه په قصد سره سره یوځای کړئ، او ولیکئ چې کوم ګام کوم واک کاروي۔
وخت دویم توپیر دی۔ بدله شوې د منلو لیست نویو لاس ورکولو ته تطبیق کیږي، خو هغه غونډې چې دمخه جوړې شوې دي تر هغه چلیږي چې یو څه یې پای ته ورسوي۔ په نوي لیست کې د ننوتلو شمېرل د دې ثبوت چې زاړه غونډې پای ته رسېدلي، هغه لاره ده چې لیرې شوی کلاینټ ساعتونه نښلول شوی پاتې کیږي۔
ناسمونده واکونه دوه سوري پریږدي چې په عمل کې په اسانۍ موندل کیږي۔ حساب غیر فعال کېدای شي خو د هغې کنټرول کیلي لا هم لاس ورکول خلاصوي، او سند لغوه کېدای شي خو د میټاډاټا تګلاره لا هم هماغه کلاینټ مني۔ دواړه په بېلابېلو ځایونو کې یوه تېروتنه ده، ځکه چې آپریټر یو لیست د ټول واک په توګه وګاڼه۔ د لیرې کولو پر مهال درې لیستونه سره څنګ په څنګ کېږدئ او تېروتنه ښکاره کیږي۔
پروفایل خپرول او لیرې کول
خپرول اسانه نیمه ده: د منلو خوا کې د کلاینټ کیلي جوړه کړئ، پروفایل په دقیق ډول یو مالک ته ورکړئ، د پوښلو مواد محدود وساتئ، او په هر منلو سرور کې هماغه تصدیق پروګرام چل کړئ۔ ارزانه داخلېدل د ټول ګروپ ځانګړتیا ده، نه د تر ټولو نوي هوسټ۔ دویم سرور چې زاړه یا سسته سکریپټ ولري په خاموشۍ کې د ځای پرځای کولو تر ټولو کمزورې لاره کیږي۔
لیرې کول درې ګامه په قصد سره په ترتیب غواړي۔ په تصدیق کنځل کې کلاینټ رد کړئ ترڅو نوي لاس ورکول ناکام شي، که PKI کارول کیږي د هغه سند لغوه کړئ، او حساب غیر فعال کړئ ترڅو وروسته اجازه د اجازې ورکولو لپاره څه ونه لري۔ بیا هغه غونډې پای ته ورسوئ چې زاړه منل اجازه ورکړې وه، ځکه دوی به د درېیو څخه هېڅ ونه ګوري۔ ترتیب په هغه کلاینټ تمرین کړئ چې هغه ماتولای شئ۔
په پروفایل کې میټاډاټا د هغې تګلارې لپاره ننوتنه ده، نه دا ثبوت چې د لاسرسي کنټرول دمخه شته۔ د OpenVPN 2.6 ډیزاین سند شیان او هغه پوله چې دوی رسموي بیانوي، خو د هغوی پلي کول آپریټر ته پاتې کیږي۔