د ثابت کلي په فایل کې د بټونو شمېر د OpenVPN د کوډ کولو ځواک نه دی

یو سکنر یا همکار د OpenVPN د ثابت کلي په فایل کې چاپ شوي بټونو شمېر ته اشاره کوي او پوښتنه کوي چې ولې تونل د دې اندازې کوډ کوونکی نه کاروي۔ پوښتنه معقوله ښکاري، او ځواب یو شمېر نه دی: بینر ذخیره شوې کلیزه ماده شمېري، خو کوډ کوونکی یوازې هغه برخه کاروي چې د کلي اندازې ته اړینه ده۔ دغه ټول مقدار د ځواک د تنظیم په توګه نیول هغو سمونو ته رسوي چې هېڅ نه بدلوي۔ دا بڼه د دې لپاره جوړه شوې چې له هر یو واحد الګوریتم چې کاروي ډېره ماده ونیسي۔

دلته دوه پوښتنې یوځای کېږي: فایل څومره کلیزه ماده ذخیره کوي، او توافق شوی کوډ کوونکی څومره پیاوړی دی۔ تونل یوازې دوهم بیانوي۔

په بینر کې شمېر په رښتیا څه شمېري

کانټینر د کوډ کولو ماده او د HMAC ماده جلا جوړښتونو په توګه ترتیبوي، او دوه اړخیزه بڼه دوه داسې ټولګې لري ترڅو هر لوری خپل کلي ولېږدوي۔ لیکونکی کوډ چاپ شوی شمېر د ترتیب شوو جوړښتونو له شمېر، د هغو له اندازې او د هر بایټ لپاره اتو بټونو څخه راوباسي۔ دا پر ذخیره حساب دی، نه دا ادعا چې یو کوډ کوونکی هر ذخیره شوی بایټ کاروي۔ سرلیک د کوډ کولو مادې تر ټولو ډېره ونډه هم ټاکي ترڅو د کتابتون بدلون د بڼې اندازې په خاموشۍ بدل نه کړي۔

دا د سند کلي سره پرتله کړئ، چېرې چې د بټونو شمېر په رښتیا د یو شي اندازه بیانوي۔ 4,096 بټه RSA کلی او هغه کلیزه فایل چې بینر یې 4,096 بټه لولي بېلابېل توکي دي بېلابېلو دندو سره، او د یوې ډایل د دوو تنظیمونو په توګه یې ایښودل بدې پایلې ورکوي۔

په یوه فایل کې دوه کلیزې ټولګې

د فایل هره نیمه د کوډ کولو او تصدیق ماده برابروي، ځکه چې مخکې شریک شوي کلي حالت پاکټونه په دواړو لورو کې په هماغو جلا ټوټو ساتي۔ فعال کوډ کوونکی یوازې هغه بایټونه کاروي چې د کلي اندازې ته اړین دي، او ډایجیسټ خپله د وتلو اندازه کاروي، له همدې کبله د کارېدونکې ځواک له اختیارونو څخه راځي، نه د فایل له اوږدوالي۔ هګزاډیسیمل بلاک اوږدول د ترتیب شوي الګوریتم څخه نه غواړي چې له هغې ډېر وکاروي۔ تبصره په لوی شمېر سمول لا هم لږ بدلون راولي۔

که واقعاً اوږد کلی غواړئ، هغه تنظیم چې باید بدل شي کوډ کوونکی یا ډایجیسټ دی، او جوړونکی هغه څه تولیدوي چې ټاکل شوو الګوریتمونو ته اړین دي۔

پروفایل لوستل درته وایي چې کوم حالت لرئ

هماغه د فایل بڼه دوه بشپړ بېلابېلو دندو ته خدمت کوي، او یوازې پروفایل وایي چې کوم یې لرئ۔ زوړ secret کرښه فایل د تونل یوازینۍ کلیزه ماده جوړوي، خو tls-auth یا tls-crypt یې د سندونو تر څنګ د کنټرول چینل ساتنه جوړوي۔ دواړه کارونې که بلاک څومره ورته ښکاره شي، هغه د پیرودونکي د سند شخصي کلی نه جوړوي۔ د بدیل له جوړولو مخکې اختیار او نسخه وپېژنئ، او د تورو زیاتولو پر ځای مستند جوړونکی وکاروئ۔

همدا توپیر د افشا پر وړاندې غبرګون هم ټاکي۔ توی شوی tls-auth کلی د غونډې کلي نه افشا کوي، خو بریدګر ته اجازه ورکوي چې د کنټرول چینل ترافیک دننه کړي، نو بیا هم باید بدل شي۔ توی شوی secret کلی لا بدتر دی، ځکه هغه هغه ماده وه چې پخپله ډاټا یې ساتله۔

د امنیتي کتنې لخوا باید څه ولیکل شي

درې شیان جلا ولیکئ: د ډاټا چینل توافق شوې ساتنه، د کنټرول چینل ساتنه، او دا چې همکاران څنګه تصدیق کېږي۔ لکه data-ciphers AES-256-GCM کرښه یوازې لومړی بیانوي، او هغه راپور چې هلته ودرېږي نشي ویلای چې کنټرول چینل په ټولیزه توګه ساتل شوی که نه۔ د ثابت کلي فایل دوهمې ډلې ته ځي کله چې له tls-auth یا tls-crypt سره کارول کېږي، او هېڅ یوې ته نه کله چې نه کارول کېږي۔ هغه کتونکي چې ډلې سره ګډوي، د پیاوړي کوډ کوونکي غوښتلو پر مهال لوی کلیزه فایل غواړي۔

که فایل افشا شوی وي، هغه وڅرخوئ او د تصویب شوي چینل له لارې یې بیا ووېشئ۔ له زیانمن شوي راز سره توري زیاتول څرخول نه دي، او افشا شوې ماده یې د اعتبار وړ پرېږدي۔

د څرخولو ریکارډ د هغه پروفایل سره وساتئ چې اړه لري۔ راتلونکې کتنه به وپوښتي کوم کلي کومه موده ساتلې، او بینر به یې ځواب نه ورکوي۔