ایا په OpenVPN کې dh none سره RSA سند کار کولی شي؟
د سند ډول او د کیلي بدلون ګروپ د TLS دوه جلا انتخابونه دي. RSA سند کولی شي ECDHE لاس ورکول تصدیق کړي، نو dh none ته EC سندونه نه ورته اړتیا ده.
دلته یو سرور ترتیب دی چې د RSA ویلو سند تر څنګ dh none وایي، سره له دې چې یو یې باید غلط وي دا زړه بوګنونکې شک. هیڅ شی غلط نه دی. سند لاسلیک کوي او تصدیق کوي؛ د کیلي بدلون یو ګډ راز رامنځته کوي. دا په یوه لاس ورکولو کې دوه جلا دندې دي، او TLS اجازه ورکوي چې RSA سند هغه لاس ورکول تصدیق کړي چې لنډمهاله بیضوي منحني تړون کاروي.
ګډوډي معمولاً د لېږد لارښود سره راځي. هغه وایي چې د DH پارامیټر فایل د dh none سره بدل کړئ، لوستونکی ویني چې سند د بیضوي منحني سند نه دی، او دواړه حقایق د تضاد په توګه ګڼل کیږي.
ولې دواړه ترتیبات اړوند ښکاري
د OpenVPN زوړ ترتیب د DH پارامیټر فایل غوښت ځکه چې د محدود ساحې Diffie-Hellman هغه ډومین پارامیټرونو ته اړتیا لري چې دواړه خواوې پرې موافقې وي. dh لارښوونه هغه فایل ته اشاره کوله. کله چې ځای پرځای کول ECDH ته ځي، پارامیټرونه د هغې پرځای له نومول شوې منحني څخه راځي، او فایل نور نه اړتیا لري، چې dh none ښیې.
سندونه جلا محور دی. دوی عامه کیلي او لاسلیک لري چې د سرور هویت ثابتوي، او هغه کیلي کولی شي RSA یا بیضوي منحني وي پرته له دې چې د سیشن کیلي څنګه موافقه شي. هغه لاس ورکول چې د کیلي تړون لپاره ECDHE او د تصدیق لپاره RSA کاروي، عادي او په پراخه کچه ځای پرځای شوي دي.
نومول تړاو نور خرابوي. بیضوي منحني په ECDHE او ECDSA دواړو سوټ نومونو کې ښکاري، نو اسانه ده چې فکر وکړو چې هر هغه اړیکه چې منحني یادوي باید د منحني سند ولري. داسې نه ده.
د TLS 1.2 سوټ نوم په سمه توګه لوستل
ECDHE-RSA-AES256-GCM-SHA384 واخلئ. لومړی ټوکن د کیلي بدلون کورنۍ ده: لنډمهاله بیضوي منحني Diffie-Hellman. دوهم د تصدیق کورنۍ ده: RSA. پاتې برخه د ریکارډ ساتنې او په لاس ورکولو کې کارول شوي هش تشریح کوي.
ECDHE-ECDSA سوټ هماغه د کیلي بدلون کورنۍ د بل تصدیق طریقت سره کاروي، نو بیضوي منحني سند ته اړتیا لري. DHE-RSA سوټ د RSA تصدیق سره د محدودې ساحې لنډمهاله Diffie-Hellman کاروي، او هغه واقعاً DH پارامیټرونو ته اړتیا لري.
د سوټ نوم له کیڼ څخه ښي ته ولولئ او هر برخه خپل کار ته وټاکئ. کله چې ټوکنونه جلا شي، پوښتنه له «ایا زما سند dh none سره سمون لري» څخه «ایا زما سرور داسې سوټ ته اجازه ورکوي چې د کیلي بدلون یې DH فایل ته اړتیا نه لري» ته بدلیږي.
dh none واقعاً څه غیر فعالوي
dh none سرور ته وایي چې د محدودې ساحې DH پارامیټر فایل بار نه کړي. دا تصدیق، د سند اعتبار یا پخپله TLS غیر فعال نه کوي. خو دا غواړي چې موافق شوی د کیلي بدلون هغه وي چې دغو پارامیټرونو ته اړتیا نه لري، چې په عمل کې د ECDHE سوټ یا TLS 1.3 لاس ورکولو معنا لري.
له همدې غوښتنې خرابوالی راځي. که د سرور TLS سایفر تګلاره DHE سوټونو ته محدوده وي، یا کلاینټ یوازې هغه وړاندې کوي، د پارامیټر فایل لرې کول هېڅ د کار وړ د کیلي بدلون طریقه نه پریږدي او لاس ورکول ناکام شي. تېروتنه معمولاً د کنټرول چینل لاس ورکولو په جریان کې، له هر کارن تصدیق دمخه ښکاري. د ورک فایل ملامتولو دمخه د سایفرونو لیست ولولئ.
د بیضوي منحني په خوا کې، منحني د سرور TLS ترتیب غوره کوي، او OpenVPN په زړو څانګو کې د هغې د غوره کولو انتخاب وړاندې کوي. TLS 1.3 د ګروپ خبرې اترې د پروتوکول دننه سمبالوي او DH فایل ته هېڅ نه ګوري.
dh none پخپله د امنیت کمښت نه دی. د بدلون ځواک بیا په واقعاً موافق شوې منحني او سوټ پورې اړه لري، له همدې امله بله ګام د ورک فایل نه، بلکې دې ته کتل دي چې خواوو څه غوره کړل.
له سمون دمخه خبرې اترې تاییدول
د سرور او کلاینټ تفصیل لوړ کړئ او د کنټرول چینل هغه کرښه ولولئ چې OpenVPN د نښلونې وروسته چاپوي. دا د TLS نسخه او موافق شوی سایفر نوموي، او د سیال سند د کیلي ډول راپور ورکوي. هماغه یوه کرښه هغې پوښتنې ته ځواب ورکوي چې د ترتیب فایل یوازې اشاره ورته کوي.
که دا TLS 1.2 د ECDHE-RSA سوټ او RSA سند سره ښیې، ترکیب بالکل هغه دی چې dh none تمه لري، او د سمولو څه نشته. که دا DHE سوټ یا د ګډ سایفر پرته د لاس ورکولو ناکامي ښیې، حل په سایفر تګلاره یا د کلاینټ وړتیا کې دی، په سند کې نه.
هغه تر ټولو زوړ کلاینټ وآزموئ چې د ملاتړ اراده لرئ، ځکه چې اوسنی کلاینټ کولی شي TLS 1.3 ته موافقه وکړي پداسې حال کې چې زوړ د TLS 1.2 سوټونو ته محدود وي. که تر ټولو زوړ کلاینټ هېڅ تړاو نه لري، یا اجازه شوي سوټونه پراخ کړئ یا هغه پای ټکی لوړ کړئ.
د لاس ورکولو ناکامۍ څخه تېرېدو لپاره د سند تصدیق مه بندوئ. ناکامي تاسو ته وایي چې خواوې د کیلي بدلون په اړه موافقې ته نه رسېدلې، او تصدیق بندول د تړون حل کولو پرته د هویت تضمین لرې کوي.
د چیک لیست: ایا سند RSA دی، ایا ECDHE سوټ ته اجازه ده، ایا لاګ هغه سوټ ښیې، او ایا ملاتړ شوی تر ټولو زوړ کلاینټ هم پرې موافقه کوي؟ که څلور واړه هو وي، dh none خپله دنده ترسره کوي.