OpenVPN tls-crypt-v2: සේවාලාභී යතුර සහ ඔතන ලද blob කරන දේ
tls-crypt-v2 පැතිකඩක සේවාලාභී පාලන යතුරක් සහ සේවාදායකයට පමණක් විවෘත කළ හැකි ඔතන ලද පිටපතක් අඩංගු වේ. සෑම වස්තුවක්ම සහ ඉවත් කිරීමේ සෑම පියවරක්ම වෙන් වෙන්ව තබා ගන්න.
tls-crypt-v2 පැතිකඩක් ටිකට් පතකට අලවනුයේ ගොනුවේ ඇත්තේ කුමක්දැයි ගණන් කරන තෙක් හානිකර නොවන ලෙස පෙනේ. සේවාලාභියාගේ පාලන නාලිකා යතුර එම යතුරේම සංකේතනය කළ පිටපතක් අසල පිහිටයි, තුන්වන වස්තුව වන ඔතන යතුර කිසිදා පිළිගන්නා සේවාදායකයෙන් පිටව නොයයි. ඒ තුන විවිධ ප්‍රශ්නවලට පිළිතුරු දෙයි. ඒවා වෙන් කිරීම බොහෝ ප්‍රතිපත්ති විවාද ආරම්භයට පෙරම විසඳයි.
පැතිකඩේ ඇත්තේ කුමක්ද
tls-crypt-v2 හි සේවාලාභී අර්ධය යතුරක් සහ එහි ඔතන ලද පිටපතකි. සේවාලාභියා පාලන නාලිකාවේ ආරක්ෂාවට සරල යතුර භාවිත කරන අතර සැකසීමේදී ඔතන ලද පිටපත සේවාදායකයට භාර දෙයි, එබැවින් සේවාදායකය සෑම සේවාලාභියෙකුටම පැහැදිලි පිටපතක් ගබඩා නොකර එම යතුරම නැවත ලබා ගනී. ඔතන යතුර එම නැවත ලබා ගැනීම හැකි කරන අතර පිළිගන්නා පැත්තට පමණක් අයත් වේ. පහත සියල්ල ඒ තුන් වස්තුව ජීවත් වන තැනින් එනු ලැබේ.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
වගුව නමින් නොව භාරකාරත්වයෙන් කියවන්න, එවිට ප්‍රතිවිපාක තමන්ම පැහැදිලි වේ. ඔතන යතුර අහිමි වීම මිල අධික සිදුවීමකි, මන්ද පැතිකඩක කිසිවකට එය නැවත ගොඩනැගිය නොහැකි අතර අවංක ප්‍රතිසාධනය වන්නේ කණ්ඩායම නැවත නිකුත් කිරීමයි. කාන්දු වූ පැතිකඩක් ලාභදායී නමුත් වඩාත් සුලභය, මන්ද ඔතන ලද පිටපත ගොනුව බෙදාගැනීමට ආරක්ෂිත කරන බව විශ්වාස කරන පුද්ගලයින් පැතිකඩ ටිකට් පත්වලට අලවති. ඒ අසාර්ථකකම් දෙකට වෙනස් ප්‍රතිචාර අවශ්‍ය වන බැවින් වස්තු වෙන් වෙන්ව තබා ගනී.
ඔතන ලද පිටපත සම්පූර්ණ කතාව නොවන්නේ ඇයි
පැතිකඩක් භාවිත කළ හැකි සේවාලාභී ද්‍රව්‍ය එහි ඔතන ලද සගයා සමඟ ගෙන යයි, එබැවින් සේවාදායකයා සඳහා පිටපත ආරක්ෂා කිරීම ගොනුව ආරක්ෂා කිරීම ගැන කිසිවක් නොකියයි. Blob යැවීමට ආරක්ෂිත වන අතර ප්‍රකාශයට පත් කිරීමට අනාරක්ෂිතය. එහි ඇති මෙටාදත්ත blob ලබන ඕනෑම අයෙකුට දිස්වේ, එය අලවන ලද ටිකට් පත පසුව කියවන අයටද.
පැතිකඩක් වින්‍යාස ආදර්ශයක් ලෙස නොව අක්‍රමිකතා සාක්ෂියක් ලෙස සලකන්න. කාන්දු වූ ගොනුවක් එහි රඳවන්නාට සේවාදායකය එම අනන්‍යතාව පිළිගැනීම නතර කරන තෙක් ක්‍රියාකාරී සේවාලාභී අනන්‍යතාවක් ලබා දෙයි, ඔතනය එම කවුළුව ගැන කිසිවක් නොකරයි. සෑම සේවාලාභියෙකුටම එක් පැතිකඩක් නිකුත් කරන්න, එවිට ඉවත් කිරීම එක් ගොනුවක තීරණයක් ලෙස පවතී, සහ ඔතන යතුරෙහි උපස්ථය එය හැකි කරන සේවාදායක වින්‍යාසයෙන් වෙන් වෙන්ව තබන්න. එම පුරුදු දෙකෙන් කිසිවක් හානියට පත් පැතිකඩක් සුව නොකරයි, නමුත් දෙකම ඊළඟ එක කෙතරම් ඉක්මනින් පාලනය වේද යන්න තීරණය කරයි.
අත් අල්ලා ගැනීමේදී සත්‍යාපන කොක්ක පිහිටන්නේ කොහේද
සත්‍යාපන කොක්ක TLS තට්ටුව නිරාවරණය වීමට පෙර ක්‍රියා කරයි, එහි කාර්යය ඔතන ලද blob තුළ ගෙන යන මෙටාදත්ත පරීක්ෂා කිරීමයි. එය එම මෙටාදත්ත සහ කුඩා, ලේඛනගත පරිසරයක් ලබා ගනී, සහ සත්‍යාපන කොක්කකට වඩා එයට වැඩ කිරීමට අඩු ද්‍රව්‍ය ඇත. එය පරිශීලක නාම, සැසි තත්ත්වය හෝ ප්ලගින් විචල්‍ය දකින බව උපකල්පනය කිරීම මෙම කොක්ක නරක ලෙස ලිවීමේ සාමාන්‍ය ක්‍රමයයි. වෙනත් කොක්කකින් අපේක්ෂා ණයට ගැනීම වෙනුවට කොක්කේම අත්පොත කොටස කියවන්න.
එහි පිටවීමේ තත්ත්වය තීරණයයි: ශුන්‍ය නොවන ප්‍රතිඵලයක් සේවාලාභියා ප්‍රතික්ෂේප කරන අතර ශුන්‍ය ප්‍රතිඵලයක් අත් අල්ලා ගැනීම දිගටම කරගෙන යාමට ඉඩ දෙයි. එබැවින් ප්‍රතිපත්තිය මෙටාදත්ත නැති විට, විග්‍රහ කළ නොහැකි විට හෝ අනපේක්ෂිත විට සිදුවන්නේ කුමක්දැයි පැවසිය යුතුය. පළමුව ප්‍රතික්ෂේප මාර්ගය ලියන්න, පසුව කුමන අගයන් පිළිගත හැකිද යන්න තීරණය කරන්න.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shඒ පේළි දෙක සේවාදායකයේ ප්‍රතිපත්ති මතුපිටයි: එකක් ඔතන යතුර නම් කරයි, අනෙක සෑම සේවාලාභියෙකුම විනිශ්චය කරන වැඩසටහන නම් කරයි. සිත්ගන්නා සියල්ල ස්ක්‍රිප්ටය තුළ ජීවත් වේ, එය අනුවාද පාලනය සහ වෙනත් ඕනෑම ප්‍රවේශ නීතියකට සමාන සමාලෝචනයක් ලැබීමට සුදුසුය.
ගිණුම, සහතිකය සහ පාලන යතුර වෙන් වෙන්ව ඉවත් වේ
පාලන නාලිකාවේ මුල් පිළිගැනීම සත්‍යාපනයක් නොවේ, මන්ද එය TLS අනන්‍යතා පරීක්ෂාවට පෙර සහ ඕනෑම ගිණුම් බලය පැවරීමකට පෙර සිදු වේ. ගිණුමක් අක්‍රිය කිරීම, සහතිකයක් අවලංගු කිරීම සහ සේවාලාභී පාලන යතුරක් ප්‍රතික්ෂේප කිරීම යාන්ත්‍රණ තුනක් සහිත ක්‍රියා තුනකි. ඒවායින් එකක් පමණක් කරන යෙදවීමකට ප්‍රතිපත්තියක් නොව හිඩැසක් ඇත. තුනම හිතාමතා සමපාත කරන්න, සහ කුමන පියවර කුමන බලය ක්‍රියාත්මක කරයිද යන්න සටහන් කරන්න.
වේලාව දෙවන වෙනසයි. වෙනස් වූ පිළිගැනීම් ලැයිස්තුව නව අත් අල්ලා ගැනීම්වලට අදාළ වේ, දැනටමත් ස්ථාපිත සැසි යමක් ඒවා අවසන් කරන තෙක් දිගටම ක්‍රියා කරයි. නව ලැයිස්තුවේ සටහන් පැරණි සැසි අවසන් වූ බවට සාක්ෂි ලෙස ගණන් කිරීම ඉවත් කළ සේවාලාභියා පැය ගණනක් සම්බන්ධව සිටින ආකාරයයි.
නොගැලපුණු බලතල ප්‍රායෝගිකව පහසුවෙන් සොයාගත හැකි සිදුරු දෙකක් ඉතිරි කරයි. ගිණුමක් අක්‍රිය වුවත් එහි පාලන යතුර තවමත් අත් අල්ලා ගැනීමක් විවෘත කළ හැක, සහ සහතිකයක් අවලංගු වුවත් මෙටාදත්ත ප්‍රතිපත්තිය එම සේවාලාභියා තවමත් පිළිගනී. දෙකම විවිධ ස්ථානවල එකම වැරැද්දකි, මන්ද ක්‍රියාකරු එක් ලැයිස්තුවක් සම්පූර්ණ බලය ලෙස සැලකීය. ඉවත් කිරීමේ වේලාවේදී ලැයිස්තු තුන පසෙකින් තබන්න, වැරැද්ද දෘශ්‍යමාන වේ.
පැතිකඩක් නිකුත් කිරීම සහ ඉවත් කිරීම
නිකුත් කිරීම පහසු අර්ධයයි: පිළිගන්නා පැත්තේ සේවාලාභී යතුර සාදන්න, පැතිකඩ හරියටම එක් හිමිකරුවෙකුට දෙන්න, ඔතන ද්‍රව්‍ය සීමිතව තබන්න, සහ සෑම පිළිගන්නා සේවාදායකයකම එම සත්‍යාපන වැඩසටහනම ධාවනය කරන්න. ලාභදායී ප්‍රවේශය මුළු කණ්ඩායමේම ගුණාංගයකි, අලුත්ම සත්කාරකයේ නොවේ. පැරණි හෝ ලිහිල් ස්ක්‍රිප්ටයක් ඇති දෙවන සේවාදායකය නිහඬව යෙදවීමේ දුර්වලම මාර්ගය බවට පත් වේ.
ඉවත් කිරීමට පියවර තුන හිතාමතා අනුපිළිවෙලකින් අවශ්‍ය වේ. නව අත් අල්ලා ගැනීම් අසාර්ථක වන පරිදි සත්‍යාපන කොක්කේ සේවාලාභියා ප්‍රතික්ෂේප කරන්න, PKI භාවිත වේ නම් එහි සහතිකය අවලංගු කරන්න, සහ පසුව බලය පැවරීමට බලය පැවරිය හැකි කිසිවක් නොතිබෙන පරිදි ගිණුම අක්‍රිය කරන්න. ඉන්පසු පැරණි පිළිගැනීම අවසර දුන් සැසි අවසන් කරන්න, මන්ද ඒවා තුනෙන් එකක්වත් නොදනී. ඔබට බිඳිය හැකි සේවාලාභියෙකු මත අනුපිළිවෙල පුහුණු වන්න.
පැතිකඩේ මෙටාදත්ත එම ප්‍රතිපත්තියට ආදානයක් මිස ප්‍රවේශ පාලනය දැනටමත් පවතින බවට සාක්ෂියක් නොවේ. OpenVPN 2.6 නිර්මාණ ලේඛනය වස්තු සහ ඒවා අඳින සීමාව විස්තර කරයි, ඒවා බලාත්මක කිරීම ක්‍රියාකරු සතුව පවතී.