Je li objavljeni OpenVPN ključ CA, ključ vršnjaka ili tls-auth?

Netko prijavi da je VPN ključ javan, a ta rečenica skriva tri posve različite situacije. Može biti CA certifikat koji bi trebao imati svaki klijent, privatni identitetski ključ koji nikada nije smio napustiti jedno računalo, ili zajednička tajna kontrolnog kanala koju obje strane moraju čuvati. Popravak, hitnost i opseg štete razlikuju se u svakom slučaju, pa je prvi zadatak razvrstavanje, a ne djelovanje. Ako pogriješite kategoriju, svaki daljnji korak je uzaludan trud.

Krenite od direktive, ne od naziva datoteke

Pročitajte aktivnu konfiguraciju i pronađite koja direktiva pokazuje na dotični materijal. OpenVPN-ove TLS opcije rabe ca za pouzdani certifikatni materijal, cert za certifikat lokalnog vršnjaka i key za privatni ključ koji mu pripada.

Nazivi datoteka ne dokazuju ništa. Datoteka nazvana key.pem može sadržavati certifikat, a ugrađeni blok u profilu može sadržavati isti takav objekt kao zasebna datoteka na disku. Otvorite datoteku i pogledajte njezino zaglavlje umjesto da vjerujete nazivu. Ta jedna provjera uklanja većinu nejasnoća u prijavi.

Ako je profil PKCS#12 paket, raspakirajte ga na kontroliranom mjestu da vidite što doista sadrži. Jedan paket može nositi certifikat, njegov lanac i privatni ključ, što znači da je curenje paketa curenje sva tri.

Zapišite razvrstavanje prije nego što itko promijeni datoteku: objekt, direktiva, koji vršnjaci ga drže i tko ga može čitati. O toj rečenici ovisi ostatak odgovora.

CA certifikat je namijenjen dijeljenju

Javni CA certifikat je materijal povjerenja. Klijenti ga trebaju za provjeru poslužitelja, a njegova je distribucija uobičajen slučaj, ne incident. Njegovo objavljivanje ne objavljuje CA-ov privatni ključ za potpisivanje, a upravo bi taj objekt napadaču omogućio stvaranje novih identiteta.

Tu razliku vrijedi izričito navesti u kartici, jer se dvije stvari stalno brkaju. Pitanje na koje treba odgovoriti jest je li procurjela datoteka certifikat ili ključ za potpisivanje, a brz pogled u sadržaj datoteke to rješava. Certifikat nosi javni ključ i potpis; ključ za potpisivanje u njemu se uopće ne pojavljuje.

Distribucija ipak zaslužuje pažnju. Klijenti bi certifikat trebali dobiti odobrenim putem za dostavu profila, a ne s mjesta za lijepljenje, a certifikat koji stigne nepouzdanim putem može biti zamijenjen na putu.

Ključ vršnjaka i tls-auth tajna nisu

Privatni ključ vršnjaka je identitetski materijal. Nakon kopiranja poslužitelj više ne može razlikovati namijenjeni uređaj od bilo koga tko drži kopiju, jer je isključivo posjedovanje bilo svojstvo koje se dokazivalo. Nastavak autorizacije i zamjena odluke su vlasnika VPN-a, a ne onoga tko je pronašao datoteku.

Tajna tls-auth treća je stvar. Dodaje HMAC autentifikaciju oko paketa kontrolnog kanala tako da se pogrešno autentificirani paketi odbacuju prije TLS razmjene, i nije ni privatni ključ vršnjaka ni ključ koji šifrira podatke aplikacije.

Ako je ta zajednička tajna javna, barijera koju je pružala nestala je za svakoga tko ju ima. Iz toga ne slijedi da svaki vlasnik prolazi provjere certifikata i korisnika iza nje, zato je razvrstavanje važnije od razine uzbune. Recite koja je barijera pala i recite koje su ostale.

Popravite ulogu koja je procurila, a ne susjednu

Zajednička tajna ne može se ponovno učiniti privatnom preimenovanjem datoteke ili skrivanjem poveznice za preuzimanje. Zamjena znači stvaranje nove vrijednosti i njezinu distribuciju svakom vršnjaku u koordiniranoj promjeni, a zamjena samo jedne strane kvari dogovor svima koji još drže staru vrijednost.

Ako je identitet vršnjaka bio izložen, upotrijebite operaterov postupak opoziva i ponovne registracije za taj identitet. Promjena zaporke nepovezanog računa ne poništava kopirani certifikat, a ni zamjena datoteke tls-auth.

Potvrdite što implementirani poslužitelj doista provodi prije nego se oslonite na bilo što od toga. Popis opoziva koji se ne osvježava ili provjera uloge koja je bila isključena tijekom prekida mijenjaju odgovor posve. Čitajte pokrenutu konfiguraciju, a ne kopiju iz repozitorija.

Procijenite prošli promet prema njegovim vlastitim uvjetima

Izložena datoteka sama po sebi ne kaže mogu li se prethodno snimljene sesije dešifrirati. To ovisi o metodi uspostave ključa, izloženom materijalu i tome koji zapisi postoje, a i ‘sav je promet izgubljen’ i ‘ništa se nije dogodilo’ nagađanja su bez tih činjenica.

Ne objavljujte još jednu kopiju vjerodajnice dok pitate kojoj kategoriji pripada. Umjesto toga podijelite nazive direktiva i ne-tajne metapodatke odobrenim putem podrške.

Koristan zaključak imenuje objekt, njegovu ulogu, izgubljenu zaštitu i potrebno koordinirano djelovanje. Sve kraće od toga naslov je, a ne procjena.