OpenVPN පාලන පැකට් ලුහුබැඳීම: TLS ට පෙර tls-auth

tls-auth අසාර්ථකත්වය සාමාන්‍යයෙන් අත්වැල් ගැසීමේ ගැටලුවක් ලෙස වාර්තා වේ, නමුත් එය කිසිදා එසේ නොවීය. කිසිදු TLS සැකසුමක් ආරම්භ වීමට පෙර පාලන පැකට්ටුවේ HMAC පරීක්ෂා කෙරේ, එබැවින් නොගැළපෙන යතුරක් හෝ දිශාවක් සහතික ගැටලුවක් ලෙස පෙනෙන සහ ස්ථර දෙකක් කලින් තීරණය වන අසාර්ථකත්වයක් ඇති කරයි. ලියුම් කවරය තමන්ගේම වස්තුවක් ලෙස සැලකීමෙන් රෝග විනිශ්චය කෙටි වේ: ක්ෂේත්‍ර කියවන්න, පරීක්ෂාව ඉක්මනින් ක්‍රියාත්මක වන බව තහවුරු කරන්න, පසුව දෙපසම එකඟ විය යුතු කරුණු තුන සසඳන්න.

ලියුම් කවරය ගොඩනැගෙන අනුපිළිවෙලින් කියවන්න

පාලන පැකට්ටුවක් සැසි හඳුනාගැනීමක්, විකල්ප tls-auth HMAC, නැවත සිදුවීම් සහ තහවුරු කිරීම් තොරතුරු, සහ විශ්වාසදායක පණිවිඩ හඳුනාගැනීමක් දරයි, ඉන්පසු පණිවිඩ වර්ගයේ ගෙවුම පැමිණේ. පණිවිඩය අත්වැල් ගැසීමේ පණිවිඩයක් නම්, ගෙවුම TLS සංකේතිත පෙළ වේ. සම්බන්ධය මෙපමණයි: TLS ද්‍රව්‍ය ලියුම් කවරය දැනටමත් ආරක්ෂා කරන පණිවිඩයක් තුළ ගමන් කරයි. බලන්න OpenVPN ජාල ප්‍රොටොකෝල යොමුව පාලන නාලිකාවේ ක්ෂේත්‍ර එම අනුපිළිවෙලින් ලැයිස්තුගත කරයි.

විශ්වාසදායකත්ව ස්ථරය ගුප්තකේතනය සමඟ ව්‍යාකූල කිරීම පහසුය. තහවුරු කිරීම්, නැවත යැවීම සහ පණිවිඩ හඳුනාගැනීම පවතින්නේ විශ්වාසදායක නොවන ප්‍රවාහනයක් හරහා පාලන පණිවිඩ එක් වරක් සහ අනුපිළිවෙලින් පැමිණීමටය. ඒවා සත්‍යාපනය නොවේ, සහ නිවැරදි පණිවිඩ හඳුනාගැනීමක් පැකට්ටුව කවුරු යැව්වා ද යන්න ගැන කිසිවක් ඔප්පු නොකරයි.

මෙම සමූහගත කිරීම සංකල්පීයව තබා ගන්න. එය බයිට් අනුපිළිවෙල සටහනක් නොවේ, සහ ටැගයක් ගණනය කිරීමට ප්‍රමාණවත් නොවේ, මන්ද HMAC වෙත ඇතුළු වන ක්ෂේත්‍ර ක්‍රියාත්මක කිරීම, අනුවාදය සහ මාදිලිය මත රඳා පවතී.

පරීක්ෂාව අත්වැල් ගැසීමට පෙර ක්‍රියාත්මක වන බව පෙන්වන්න

හවුල් යතුර ඇති ග්‍රාහකයෙකුට HMAC තහවුරු කර ව්‍යාජ පැකට්ටුවක් වහාම ඉවත දැමිය හැක, අත්වැල් ගැසීමේ තත්ත්වය වෙන් නොකර හෝ පොදු යතුරු කටයුතු නොකර. ආරක්ෂාව මුල් අත්වැල් ගැසීමේ පැකට්ටු ද ආවරණය කරයි, එබැවින්ම වැරදි යතුරක් ප්‍රමාද වූ සත්‍යාපන දෝෂයක් ලෙස නොව අසාර්ථක සම්බන්ධතාවයක් ලෙස පෙනේ.

ඩීමන්ගේ වාචාලතාව වැඩි කර, tun උපාංගය වෙනුවට පාලන නාලිකාව නිරීක්ෂණය කරන්න:

openvpn --config /etc/openvpn/server.conf --verb 6

ඔබ සොයන්නේ පැකට් මට්ටමේ වාර්තා වන පාලන නාලිකා HMAC තහවුරු කිරීමේ අසාර්ථකත්වයක්, ඕනෑම TLS අනතුරු ඇඟවීමකට පෙර. ලොගයේ TLS අනතුරු ඇඟවීමක් යනු ලියුම් කවරය පිළිගත් බවත් අසාර්ථකත්වය ඇතුළට ගිය බවත් ය, එය වෙනත් විසඳුමක් සහිත වෙනත් පරීක්ෂණයකි.

දිශා නිර්වචනය ද මෙහි ඇත. ස්ථිතික යතුරු ගොනුවක් tls-auth සමඟ භාවිතා කරන විට, දෙපසම ප්‍රතිවිරුද්ධ යතුරු දිශාවන් ගනී, සහ අල්ලා ගත් පැකට්ටුවක් එහි යවන්නා වෙත ආපසු පරාවර්තනය නොවන පරිදි ප්‍රොටොකෝලය එම බෙදීම භාවිතා කරයි. දිශාව ආපසු හැරවීම යතුර එලෙසම තබා තවමත් සෑම පැකට්ටුවක්ම අසාර්ථක කරයි. එක් වරකට එක් පසක් වෙනස් කර, පසුව යුගලය එකට පූරණය වීමට ඩීමන් දෙකම නැවත අරඹන්න.

දෙපසම යතුර, දිශාව සහ digest ගළපන්න

අගයන් තුනක් එකඟ විය යුතු අතර ඒවායින් එකක් පමණක් ගොනුවයි. ස්ථිතික යතුරේ අන්තර්ගතය දෙපසම සමාන විය යුතුය, දිශාව ප්‍රතිවිරුද්ධ විය යුතුය, සහ HMAC සඳහා භාවිතා කරන digest ගැළපිය යුතුය. යතුරු ද්‍රව්‍ය ස්පර්ශ කිරීමට පෙර වින්‍යාසය පරීක්ෂා කරන්න, මන්ද එක් ආපසු හැරවූ දිශාවක් විනාශ වූ ගොනුවකට වඩා වැඩි අසාර්ථකත්වයන් පැහැදිලි කරයි:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

හවුල් රහස සංස්කාරකයක් වෙනුවට මෙවලමෙන් ජනනය කර, අවසර දැඩිව තබා ගන්න:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

පැරණි නිකුතු යතුරු ජනනය සඳහා තරමක් වෙනස් විකල්ප අනුපිළිවෙලක් පිළිගත් අතර ඒවා සඳහා ලියන ලද පැතිකඩ තවමත් සංසරණය වේ. ජනනය කළ ගොනුව අවස්ථා දෙකේදීම එකම වර්ගයේ වස්තුවකි, එබැවින් පරීක්ෂාව වන්නේ දෙපසම සමාන බයිට් තිබේද යන්නය, ඒවා කුමන අක්ෂර වින්‍යාසයක් නිර්මාණය කළේද යන්න නොවේ.

tls-auth, tls-crypt සමඟ පටලවා නොගන්න. දෙකම පාලන නාලිකාව ආරක්ෂා කරයි, නමුත් tls-crypt එය සංකේතනයද කර නිරීක්ෂකයින්ගෙන් අත්වැල් ගැසීම සඟවයි, සහ දිශා බෙදීම එහිම යතුරු නිර්වචනයෙන් ප්‍රතිස්ථාපනය කරයි. එකක් භාවිතා කරන පැතිකඩක් අනෙකට වින්‍යාස කළ සහකරුවෙකු සමඟ ක්‍රියා නොකරන අතර කිසිදු digest සීරුමාරු කිරීමක් එම පරතරය පුරවන්නේ නැත.

ටැගය ඇත්තම ආකෘතියෙන් පමණක් නැවත නිපදවන්න

බයිට්-නිවැරදි නැවත නිපදවීම VPN ධාවනයෙන් වෙන් වූ කාර්යයක් වන අතර එය ක්‍රියා කරන්නේ සැබෑ ආදාන සමඟ පමණි: පැකට්ටුව ගොඩනැගූ ක්‍රියාත්මක කිරීම සහ අනුවාදය, තෝරාගත් digest, දිශාව, සහ සැසි හඳුනාගැනීම සහ තහවුරු කිරීම් අරාව ඇතුළුව සැබෑ බයිට්. ක්ෂේත්‍ර ලැයිස්තුවේ පෙළ නිරූපණය එම බයිට් නොවේ.

ටැගයේ දිග digest වෙතින් පැමිණේ, එබැවින් ස්ථිර දිග උපකල්පනය කෙනෙකු එය වෙනස් කරන මොහොතේම කැඩී යයි. පැකට්ටුව ක්‍රියාත්මක කිරීම කරන ආකාරයටම හෑෂ් කරන්න, බ්ලොග් සටහනක වගුවක් ඉදිරිපත් කරන ආකාරයට නොව, සහ අතින් ව්‍යුත්පන්න කළ අපේක්ෂාවක් සමඟ නොව එම සහකරුගෙන්ම ගත් ග්‍රහණයක් සමඟ සසඳන්න.

මෙම අභ්‍යාසය නිෂ්පාදන පැතිකඩවලින් ඈත් කර තබන්න. ටැගයක් නැවත නිපදවීමේ කිසිවක් යෙදවීමක් ආරක්ෂාව සක්‍රීය කළ යුතුද යන්න නොකියයි.

ආරක්ෂාව නොඉවත් කර නොගැළපීම ආපසු හරවන්න

පෙළඹවන පරීක්ෂණය වන්නේ tls-auth මකා දැමීම, සම්බන්ධතාවය සාර්ථක වන බව දැකීම සහ යතුර වැරදි යැයි නිගමනය කිරීමයි. එම පිළිතුර ඔබට ආරක්ෂාව වැය කරන අතර අගයන් තුනෙන් කුමක් නොගැළපුණේද යන්න කිසිවක් උගන්වන්නේ නැත. ඒ වෙනුවට සේවාදායක පැත්තෙන් අනුමත ගැළපෙන වින්‍යාසය ලබාගෙන එය සමඟ සසඳන්න.

වෙනස ආපසු හැරවිය හැකි ලෙස සූදානම් කරන්න. පෙර සේවාදායක වින්‍යාසය සහ යතුරු ගොනුව තබා ගන්න, නිවැරදි කළ යුගලය යොදන්න, සේවාලාභියෙකු අත්වැල් ගැසීම සම්පූර්ණ කරන බව තහවුරු කරන්න, සහ ඉන්පසුව පමණක් උපස්ථය ඉවත් කරන්න. වෙනසට පසු සේවාලාභීන් අසාර්ථක වුවහොත්, බාධාවක් අතරතුර තුන්වන ප්‍රභේදයක් ඉදිරිපත් කිරීම වෙනුවට පෙර ගොනු ප්‍රතිසාධනය කරන්න. ප්‍රතිසාධනය ආරම්භ කිරීමට පෙර ඔබ දැනටමත් දන්නා එක් විධානයක් විය යුතුය.

අවසාන වශයෙන්, සමත් වූ පරීක්ෂාවක අර්ථය මතක තබා ගන්න. එය සහකරු සතුව හවුල් යතුර ඇති බව ඔප්පු කරයි, ඔහුගේ සහතිකය හෝ ගිණුම බලයලත් බව නොවේ, සහ එය සාකච්ඡා කළ දත්ත නාලිකා සංකේතය ගැන කිසිවක් නොකියයි. බලය පැවරීම සහ දත්ත ආරක්ෂාව පසුව ස්ථාපිත වේ, එබැවින් පිරිසිදු ලියුම් කවර පරීක්ෂාවක් ආරම්භක ස්ථානයක් මිස තීන්දුවක් නොවේ.