د VPN خصوصي کلي په اړه پاسفریز واقعاً څه ساتي

هغه غوښتنه چې د VPN کلینټ پیلېدو پر مهال ښکاري، غلطه لوستل اسانه ده۔ دا د VPN حساب پټنوم نه دی، د تونل پټنوم نه دی، او د هغې داخلول دا نه ثابتوي چې اړیکه خوندي ده۔ دا د خصوصي کلي یو خوندي شوی استازیتوب پرانیزي ترڅو کلینټ د کلي مواد ولولي او د تصدیق لپاره یې وکاروي۔ له دې وروسته هر څه بلې پوښتنې ته اړه لري۔

په عمل کې ځواب په څنډو کې خرابیږي: خلک فکر کوي چې پاسفریز روان تونل ساتي، یا د هغې بدلول د کلي هغه کاپي باطلوي چې لا دمخه افشا شوې۔ دواړه انګیرنې ناکامېږي، او دواړه په داسې ډول ناکامېږي چې یو اعتبارنامه پرانیستې پاتې کېږي پداسې حال کې چې عملیات کوونکی فکر کوي چې دا سمه شوې ده۔

یو خبرې اترې، څو مختلف رازونه

د خصوصي کلي پاسفریز یو فایل ډیکریپټ کوي۔ د حساب پټنوم تاسو یو خدمت ته تصدیقوي۔ د PKCS#12 وارداتو پټنوم هغه بنډل ډیکریپټ کوي چې یو کلی او د هغې سند لري، او ممکن د کلي د خپل پاسفریز سره یو شان تار نه وي۔ دا غوښتنې تقریباً یو شان ښکاري، او دا اټکل چې کوم راز چېرته ځي، هغه لار ده چې کلیانې په غلط ځای کې نښلول کېږي۔

د تونل خپله کوډونه کول څلورمه شی ده۔ د معلوماتو چینل هغه غونډې کلي کاروي چې د لاس ورکولو پر مهال پرې موافقه شوې؛ د خصوصي کلي پاسفریز د جلا بستو په ساتنه کې هیڅ رول نه لري۔ که څوک د کلي فایل ولولي، کولای شي پاسفریز آفلاین اټکل کړي، خو که بستې ولولي، پاسفریز بې ربطه دی۔

په ډیسک کې کوډونه کول څه پوښي

کوډ شوی PEM کلی دوه بڼې لري، او سرلیک وایي چې کومه یې لرئ۔ عصري PKCS#8 بڼه د -----BEGIN ENCRYPTED PRIVATE KEY----- سره پیلېږي؛ زړه PEM بڼه، چې په زړو OpenVPN ترتیباتو کې لا هم عامه ده، د -----BEGIN RSA PRIVATE KEY----- سره پیلېږي او د هغې لاندې Proc-Type: 4,ENCRYPTED او DEK-Info کرښه لري۔ فایل خصوصي کلی د ستاسو د پاسفریز څخه اخیستل شوې کلي لاندې کوډ شوی ساتي، معمولاً د پټنوم پر بنسټ KDF له لارې چې ټاکل شوې تکرار شمېره یا کاري فکتور لري۔ د OpenSSL pkey اسناد بڼې او هغه پاسفریز انتخابونه پوښي چې د لوستلو پر مهال پلي کېږي۔

له دې دوې پایلې راځي۔ کمزوری پاسفریز کولای شي آفلاین د هغه سرعت سره بریدمن شي چې KDF یې اجازه ورکوي، نو د فایل اجازې او بیک اپ ته لاسرسی حتی کله چې فایل کوډ شوی وي مهم پاتې کېږي۔ او هغه بریدګر چې یوازې فایل پرته له پاسفریز ترلاسه کوي باید اټکل وکړي؛ څوک چې فایل او پاسفریز دواړه ترلاسه کوي کلی لري، لکه چې هېڅکله کوډ شوی نه و۔

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

head -3 سرلیک او په زړه فایل کې هغه Proc-Type او DEK-Info کرښې ښیي چې کوډونه کول ثابتوي؛ یوه کرښه پخپله په هیڅ لوري ثبوت نه دی۔ pkey کرښه پاسفریز غواړي او یوازې عامه نیمه چاپوي، چې ثابتوي فایل او پاسفریز کار کوي پرته له دې چې خصوصي کلی افشا کړي۔ د دې کتنې لپاره -text مه کاروئ: دا خصوصي برخې، privateExponent، prime1، prime2 او نور چاپوي، او هغه تولید باید هېڅکله چېرته نښلول نشي، نه په ټکټ، نه په خبرو اترو، نه په لاګ۔ د PKCS#12 امر هم وایي چې بنډل جلا MAC یا کوډونه کولو پټنوم لري که نه، چې د همکار ته د سپارلو دمخه یې پوهېدل ارزښت لري۔

د کلی له بارولو وروسته دا څه ساتل بندوي

خلاصول د هغې پروسې لپاره یو لوري پېښه ده۔ کلینټ له KDF څخه کلی غواړي، فایل ډیکریپټ کوي، او تر هغه چې اړتیا وي خصوصي کلی په حافظه کې ساتي۔ له هغې شیبې راهیسې پاسفریز د روانې غونډې په اړه هیڅ نه ساتي: نه د پروسې حافظه، نه د کرنل ډمپ، نه له کلینټ سره تړلې د غلطیو موندنې غونډه، او نه د ماشین هغه بیک اپ چې د کلي د کارولو پر مهال اخیستل شوی۔

دا هغه څنډه ده چې د SSH کلي د پاسفریز سره یا د پټنوم مدیر خلاص شوي خزانې سره وي۔ دا د آرام حالت کې د فایل د غلا لګښت لوړوي او ستاسو د کاروونکي په توګه روان زیانمن سافټویر، هغه مجاز اپلیکیشن چې کلینټ ته د لاسلیک غوښتنه کوي، یا هغه مدیر چې حافظه لوستلای شي، سره هیڅ نه کوي۔ دا یوه طبقه وګڼئ، نه هغه کنټرول چې کلی د پرېښودلو لپاره خوندي کوي۔

ولې غوښتنه بیا بیا راګرځي

هغه کلینټ چې په هر بیاځلي اړیکه کې بیا پوښتنه کوي، ضروري نه ده چې خراب وي۔ ځینې کلینټونه پاسفریز د غونډې لپاره کیش کوي، ځینې یې په OS کلي زنځیر کې ساتي، او ځینې داسې مرستندوی ته اشاره کېدای شي چې هغه یې برابروي، نو چلند چې ترلاسه کوئ د کلینټ او د هغه ترتیباتو پورې اړه لري، نه د کلي فایل پورې۔

که تکراري غوښتنه ریښتینې شکایت وي، د کلي څخه د کوډونه کولو له لرې کولو دمخه د کلینټ کیش او تصدیق انتخابونه وګورئ۔ د پاسفریز لرې کول ساتل شوی فایل په ساده متن کلي بدلوي، او بیاځلی اړیکه آرامه شي په هغه یوازیني آرام کنټرول بیه چې درلود۔ غوره ځواب معمولاً د ملاتړ شوي اعتبارنامې ذخیره ده چې ورته د فایل اجازې ولري چې تاسو به یې هرومرو کارولې۔

ضايع او افشا کېدل یو شان ترمیم نه دي

ضايع شوی پاسفریز له سند څخه بیرته نشي راوستل کېدای۔ سند عامه مواد دي چې نوم له کلي سره تړي؛ په هغې کې خصوصي کلي ته د بېرته تګ لار نه ده او د پاسفریز په اړه هیڅ نښه نه ده۔ عملي انتخابونه د کلي مجاز بیک اپ یا د عملیات کوونکي د عادي پروسې له لارې صادر شوې نوې هویت دي۔ څوک چې د پاسفریز 'بیرته راوستلو' وړاندیز کوي، د هغې د اټکل کولو وړاندیز کوي۔

افشا کېدل بل ځواب ته اړتیا لري۔ ورته کلی په نوي پاسفریز کوډونه کول د کلي مواد بې بدله پرېږدي، نو هغه کاپي چې لا دمخه بل ځای خلاصه شوې وه لا هم کار کوي۔ ترمیم د اعتبارنامې لغوه کول یا بدلول دي: نوی کلی او سند صادر کړئ، وویشئ، او زړه یې په همکار کې تقاعد کړئ۔ تر هغه چې دا نه وي شوي، د فایل پټنوم بدلول کورني کارونه دي، نه مهار۔ زړه فایل یوازې هغه وخت له بیک اپ څخه بهر وساتئ چې نوې هویت کار کول تایید شي، او ولیکئ چې کوم سیریل یا د ګوتو نښه یې بدله کړه۔