د OpenVPN کنټرول بستو تعقیب: له TLS مخکې tls-auth

د tls-auth ناکامي معمولاً د لاس اچونې ستونزه په توګه راپور کیږي، خو کله هم دا نه وه. HMAC د کنټرول بستې په سر کې مخکې له دې چې د TLS کومه پروسس پیل شي کتل کیږي، نو ناسمه کیلي یا لوری داسې ناکامي پیدا کوي چې د سند ستونزې په څیر ښکاري او دوې طبقې مخکې پرېکړه کیږي. د پوښ د خپلواک شي په توګه لیدل تشخیص لنډوي: ساحې ولولئ، تصدیق کړئ چې کتنه ژر پیل کیږي، بیا هغه درې شیان پرتله کړئ چې دواړه خواوې باید پرې سلا شي.

پوښ په هغه ترتیب ولولئ چې جوړیږي

کنټرول بسته د غونډې پېژندونکی، اختیاري tls-auth HMAC، د تکرار او منلو معلومات، او د باوري پیغام پېژندونکی لري، او له هغې وروسته د پیغام ډول پیلوډ راځي. کله چې پیغام د لاس اچونې پیغام وي، پیلوډ په تصادفي ډول TLS کوډ شوی متن وي. ټول اړیکه همدا ده: د TLS مواد د هغه پیغام په دننه کې سفر کوي چې پوښ یې پخوا ساتنه کوي. وګورئ د OpenVPN شبکې پروتوکول مرجع چې د کنټرول چینل ساحې په همدې ترتیب لیستوي.

د باور وړتیا طبقه له کریپټوګرافي سره تګلاره کول اسانه دي. مننې، بیا لېږل او د پیغام پېژندونکی د دې لپاره دي چې کنټرول پیغامونه په باوري نه انتقال باندې یو ځل او په ترتیب ورسېږي. هغوی تصدیق نه دی، او سم پیغام پېژندونکی د دې په اړه هېڅ نه ثابتوي چې بسته چا لېږلې ده.

دا ګروپ بندي مفهومي وساتئ. دا د بایټ ترتیب انځور نه دی، او د ټاګ حساب لپاره بس نه دی، ځکه چې HMAC ته ننوتونکي ساحې د پلي کولو، نسخې او حالت پورې تړاو لري.

وښایاست چې کتنه د لاس اچونې مخکې پیل کیږي

هغه ترلاسه کوونکی چې ګډه کیلي لري کولای شي HMAC تصدیق کړي او جعلي بسته سمدلاسه وغورځوي، پرته له دې چې د لاس اچونې حالت ځانګړی کړي یا د عامې کیلي کار وکړي. ساتنه لومړنۍ د لاس اچونې بستې هم پوښي، او همدا لامل دی چې ناسمه کیلي د ناوخته تصدیق تېروتنې په توګه نه، بلکې د ناکامې اړیکې په توګه ښکاري.

د ډیمون د تفصیل کچه لوړه کړئ او د tun وسایل پرځای کنټرول چینل وګورئ:

openvpn --config /etc/openvpn/server.conf --verb 6

هغه څه چې لټوئ د کنټرول چینل HMAC تصدیق ناکامي ده چې د بستې په کچه راپور کیږي، له هر TLS خبرداری مخکې. په لاګ کې TLS خبرداری معنا دا ده چې پوښ ومنل شو او ناکامي دننه ولاړه، چې بېله حل لرونکې بېله پلټنه ده.

د لوري سمبالښت هم دلته دی. کله چې ثابته کیلي فایل د tls-auth سره کارول کیږي، دواړه خواوې مخالف لوري کیلي اخلي، او پروتوکول دا وېش کاروي ترڅو نیول شوې بسته خپل لېږونکي ته بېرته انعکاس نشي. د لوري اړول کیلي یو شان ساتي او بیا هم هره بسته ناکامه کیږي. یو ځل یوه خوا بدله کړئ، بیا دواړه ډیمونونه بیا پیل کړئ ترڅو جوړه یوځای بار شي.

په دواړه خواوو کې کیلي، لوری او digest سره برابر کړئ

درې ارزښتونه باید سره سمون ولري او یوازې یو یې فایل دی. د ثابتې کیلي منځپانګه باید په دواړه خواوو کې یو شان وي، لوری باید مخالف وي، او هغه digest چې د HMAC لپاره کارول کیږي باید سمون ولري. د کیلي موادو ته له لاس وهلو مخکې ترتیب وګورئ، ځکه چې یو اړول شوی لوری له خراب فایل څخه ډېرې ناکامۍ څرګندوي:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

ګډ راز د سمونکي پرځای د وسایل په مرسته جوړ کړئ، او اجازې تنګې وساتئ:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

زاړه خپرونې د کیلي جوړولو لپاره لږ توپیر لرونکی انتخاب ترتیب منله، او د هغو خپرونو لپاره لیکل شوي پروفایلونه لا هم ګرځي. جوړ شوی فایل په دواړه حالتونو کې یو ډول شی دی، نو کتنه دا ده چې آیا دواړه خواوې یو شان بایټ لري، نه دا چې کوم املا یې جوړ کړل.

tls-auth د tls-crypt سره ګډ مه کړئ. دواړه کنټرول چینل ساتي، خو tls-crypt هغه کوډ هم کوي او لاس اچونه له کتونکو پټوي, او د لوري وېش د خپل کیلي سمبالښت سره بدلوي. هغه پروفایل چې یو کاروي د بل لپاره برابر شوي ملګري سره به کار نه کوي، او د digest کوم تنظیم هغه سوری نه ډکوي.

ټاګ یوازې له ریښتیني بڼې څخه بیا جوړ کړئ

بایټ-دقیق بیا جوړول د VPN چلولو څخه بېله دنده ده، او یوازې له ریښتیني ننوتلو سره کار کوي: هغه پلي کول او نسخه چې بسته یې جوړه کړه، ټاکل شوی digest، لوری، او اصلي بایټونه چې د غونډې پېژندونکی او د مننې ارې هم پکې دي. د ساحو لیست متني ښودنه هغه بایټونه نه دي.

د ټاګ اوږدوالی له digest څخه راځي، نو د ثابت اوږدوالي انګېرنه په هغه شیبه ماتېږي چې څوک یې بدلوي. بسته هغسې هش کړئ لکه پلي کول یې کوي، نه هغسې لکه په بلاګ لیکنه کې جدول ښیي، او له لاسي ایستل شوې تمې پرځای له هماغه ملګري څخه اخیستل شوې ثبت سره پرتله کړئ.

دا تمرین له تولیدي پروفایلونو څخه لرې وساتئ. د ټاګ په بیا جوړولو کې هېڅ نه وایي چې آیا یو ځای پرځای کول باید ساتنه فعاله کړي.

ناسمون بیا پرته له دې چې ساتنه لیرې کړئ

هغه ازموینه چې هوس راکاږي دا ده چې tls-auth پاک کړئ، اړیکه بریالۍ وګورئ او نتیجه واخلئ چې کیلي ناسمه وه. هغه ځواب ساتنه درنه بېلوي او د دې په اړه هېڅ نه ښیي چې له دریو ارزښتونو کوم یو ناسم و. پرځای یې له سرور خوا څخه منل شوې سمون لرونکې ترتیب ترلاسه کړئ او ورسره پرتله کړئ.

بدلون داسې چمتو کړئ چې بیرته راګرځېدونکی وي. پخوانی سرور ترتیب او کیلي فایل وساتئ، سم شوې جوړه پلي کړئ، تصدیق کړئ چې یو کلینټ لاس اچونه بشپړوي، او یوازې وروسته بیک اپ لیرې کړئ. که له بدلون وروسته کلینټان ناکام شي، د خنډ پر مهال دریم ډول جوړولو پرځای پخواني فایلونه بیرته راوګرځوئ. بیرته راګرځول باید یوازې یو حکم وي چې مخکې له پیل څخه یې پوهېږئ.

په پای کې، هغه څه په یاد ولرئ چې بریالۍ کتنه یې معنا لري. دا ثابتوي چې ملګری ګډه کیلي لري، نه دا چې سند یا حساب یې اجازه لري، او د خبرو شوې ډاټا-چینل کوډ په اړه هېڅ نه وایي. اجازه او د ډاټا ساتنه وروسته جوړیږي، نو پاکه پوښ کتنه پیل ټکی دی، پرېکړه نه.