VPN පුද්ගලික යතුරේ ඇති මුරපද වාක්‍යය ඇත්තටම ආරක්ෂා කරන්නේ කුමක්ද

VPN සේවාදායකය ආරම්භ වන විට දිස්වන විමසුම වැරදි ලෙස කියවීම පහසුය. එය VPN ගිණුමේ මුරපදය නොවේ, උමගේ මුරපදය නොවේ, එය ඇතුළත් කිරීමෙන් සම්බන්ධතාවය ආරක්ෂිත බව ඔප්පු නොවේ. එය පුද්ගලික යතුරක එක් ගබඩා කළ නිරූපණයක් විවෘත කරයි, එවිට සේවාදායකයට යතුරු ද්‍රව්‍ය කියවා එය සත්‍යාපනයට භාවිත කළ හැක. ඉන් පසු සිදුවන සියල්ල වෙනත් ප්‍රශ්නයකි.

ප්‍රායෝගිකව පිළිතුර දාරවල වැරදි වේ: මුරපද වාක්‍යය ක්‍රියාත්මක වන උමග ආරක්ෂා කරයි හෝ එය වෙනස් කිරීමෙන් දැනටමත් කාන්දු වූ යතුරේ පිටපතක් අවලංගු වේ යැයි මිනිසුන් උපකල්පනය කරයි. උපකල්පන දෙකම අසාර්ථක වේ, සහ දෙකම අසාර්ථක වන්නේ මෙහෙයුම්කරු එය විසඳා ඇතැයි සිතන අතරතුර පිවිසුම් තොරතුරු නිරාවරණය වී තිබීමෙනි.

එක් සංවාදයක්, විවිධ රහස් කිහිපයක්

පුද්ගලික යතුරේ මුරපද වාක්‍යය ගොනුවක් විග්‍රහ කරයි. ගිණුම් මුරපදය ඔබව සේවාවකට සත්‍යාපනය කරයි. PKCS#12 ආයාත මුරපදය යතුරක් සහ එහි සහතිකය ඇතුළත් බණ්ඩලයක් විග්‍රහ කරයි, සහ එය යතුරේම මුරපද වාක්‍යයට සමාන අකුරු පේළියක් නොවිය හැක. මෙම විමසුම් පාහේ සමාන ලෙස පෙනිය හැක, සහ කුමන රහස කොහේද යන්න අනුමාන කිරීම යතුරු වැරදි ක්ෂේත්‍රයේ අලවා තැබීමට හේතු වේ.

උමගේම සංකේතනය සිව්වන කරුණයි. දත්ත නාලිකාව අතට අත දීමේදී සාකච්ඡා කරන ලද සැසි යතුරු භාවිත කරයි; පුද්ගලික යතුරේ මුරපද වාක්‍යයට තනි පැකට් ආරක්ෂා කිරීමේ කිසිදු භූමිකාවක් නැත. යතුරු ගොනුව කියවිය හැකි අයෙකුට මුරපද වාක්‍යය අන්තර්ජාලයෙන් තොරව අනුමාන කිරීමට උත්සාහ කළ හැක, නමුත් පැකට් කියවිය හැකි නම්, මුරපද වාක්‍යය අදාළ නොවේ.

තැටියේ සංකේතනය ආවරණය කරන දේ

සංකේතිත PEM යතුරක් ආකාර දෙකකින් පැමිණේ, සහ ශීර්ෂය ඔබට ඇත්තේ කුමක්ද යන්න කියයි. නවීන PKCS#8 ආකාරය -----BEGIN ENCRYPTED PRIVATE KEY----- සමඟ ආරම්භ වේ; පැරණි OpenVPN සැකසුම්වල තවමත් සාමාන්‍ය පැරණි PEM ආකාරය -----BEGIN RSA PRIVATE KEY----- සමඟ ආරම්භ වී ඊට පහළින්ම Proc-Type: 4,ENCRYPTED සහ DEK-Info පේළියක් දරයි. ගොනුව පුද්ගලික යතුර ඔබේ මුරපද වාක්‍යයෙන් ලබාගත් යතුරක් යටතේ සංකේතිතව තබා ගනී, සාමාන්‍යයෙන් නිශ්චිත පුනරාවර්තන ගණනක් හෝ කාර්ය සාධකයක් සහිත මුරපද පාදක KDF එකක් හරහා. OpenSSL pkey ලේඛනය ආකෘති සහ කියවීමේදී අදාළ වන මුරපද වාක්‍ය විකල්ප ආවරණය කරයි.

මෙයින් ප්‍රතිවිපාක දෙකක් ඇත. දුර්වල මුරපද වාක්‍යයක් KDF අවසර දෙන වේගයෙන් අන්තර්ජාලයෙන් තොරව ප්‍රහාරයට ලක් කළ හැක, එබැවින් ගොනුව සංකේතිත වුවද ගොනු අවසර සහ උපස්ථ වලට ප්‍රවේශය තවමත් වැදගත් වේ. තවද මුරපද වාක්‍යය නොමැතිව ගොනුව පමණක් ලබා ගන්නා ප්‍රහාරකයාට අනුමාන කිරීමට සිදු වේ; ගොනුව සහ මුරපද වාක්‍යය යන දෙකම ලබා ගන්නා අයට යතුර ඇත, එය කිසිදා සංකේතනය නොවූ ලෙසම.

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

head -3 ශීර්ෂය සහ පැරණි ගොනුවක සංකේතනය ඔප්පු කරන Proc-Type සහ DEK-Info පේළි පෙන්වයි; එක් පේළියක් පමණක් කිසිදු දිශාවකට සාක්ෂියක් නොවේ. pkey පේළිය මුරපද වාක්‍යය ඉල්ලා පොදු අර්ධය පමණක් මුද්‍රණය කරයි, එය ගොනුව සහ මුරපද වාක්‍යය ක්‍රියා කරන බව පුද්ගලික යතුර හෙළි නොකර ඔප්පු කරයි. එම පරීක්ෂාවට -text භාවිත නොකරන්න: එය පුද්ගලික සංරචක, privateExponent, prime1, prime2 සහ ඉතිරිය මුද්‍රණය කරයි, සහ එම ප්‍රතිදානය කිසිවිටෙක කිසිදු තැනක අලවා නොතැබිය යුතුය, ටිකට්පතක, කතාබස්වල හෝ ලොගයක නොවේ. PKCS#12 විධානය බණ්ඩලයට වෙනම MAC හෝ සංකේතන මුරපදයක් තිබේද යන්නද කියයි, එය සහෝදරයාට දීමට පෙර දැනගැනීම වටී.

යතුර පූරණය වූ පසු එය ආරක්ෂා කිරීම නවතින දේ

විවෘත කිරීම එම ක්‍රියාවලියට එක්-මාර්ග සිදුවීමකි. සේවාදායකය KDF එකෙන් යතුර ඉල්ලා, ගොනුව විග්‍රහ කර, අවශ්‍ය තාක් කල් පුද්ගලික යතුර මතකයේ තබා ගනී. එම මොහොතේ සිට මුරපද වාක්‍යය ක්‍රියාත්මක වන සැසිය ගැන කිසිවක් ආරක්ෂා නොකරයි: ක්‍රියාවලි මතකය නොවේ, කර්නල් ඩම්ප් නොවේ, සේවාදායකයට සම්බන්ධ නිදොස්කරණ සැසිය නොවේ, සහ යතුර භාවිතයේ තිබියදී ගන්නා ලද යන්ත්‍ර උපස්ථය නොවේ.

මෙය මුරපද වාක්‍යයක් සහිත SSH යතුරක හෝ මුරපද කළමනාකරුවෙකුගේ විවෘත භාණ්ඩාගාරයක ඇති එම සීමාවයි. එය විවේකයේ ඇති ගොනුව සොරකම් කිරීමේ පිරිවැය වැඩි කරන අතර ඔබේ පරිශීලකයා ලෙස ධාවනය වන අනිෂ්ට මෘදුකාංග, සේවාදායකයට අත්සන් කරන ලෙස ඉල්ලන බලයලත් යෙදුමක්, හෝ මතකය කියවිය හැකි පරිපාලකයෙකුට එරෙහිව කිසිවක් නොකරයි. එය එක් ස්ථරයක් ලෙස සලකන්න, යතුර අවට තැබීම ආරක්ෂිත කරන පාලනය ලෙස නොවේ.

විමසුම නැවත නැවත පැමිණෙන්නේ ඇයි

සෑම නැවත සම්බන්ධතාවයකදීම නැවත අසන සේවාදායකය අනිවාර්යයෙන්ම කැඩී ඇති බවක් නොවේ. සමහර සේවාදායක සැසිය සඳහා මුරපද වාක්‍යය කැෂ් කරයි, සමහරක් එය OS යතුරු දාමයේ ගබඩා කරයි, තවත් සමහරක් එය සපයන සහායකයෙකු වෙත යොමු කළ හැක, එබැවින් ඔබට ලැබෙන හැසිරීම සේවාදායකය සහ එහි වින්‍යාසය මත රඳා පවතී, යතුරු ගොනුව මත නොවේ.

නැවත නැවත එන විමසුම සැබෑ පැමිණිල්ල නම්, යතුරෙන් සංකේතනය ඉවත් කිරීමට පෙර සේවාදායකයේ කැෂිං සහ සත්‍යාපන විකල්ප පරීක්ෂා කරන්න. මුරපද වාක්‍යය ඉවත් කිරීම ආරක්ෂිත ගොනුවක් සරල පෙළ යතුරක් බවට පත් කරයි, සහ නැවත සම්බන්ධ වීම නිහඬ වන්නේ ඔබට තිබූ එකම විවේක පාලනයේ පිරිවැයින්ය. වඩා හොඳ පිළිතුර සාමාන්‍යයෙන් ඔබ කෙසේ හෝ භාවිත කරන ගොනු අවසර සහිත සහාය දක්වන පිවිසුම් තොරතුරු ගබඩාවකි.

අලාභය සහ නිරාවරණය එකම අලුත්වැඩියාව නොවේ

නැති වූ මුරපද වාක්‍යයක් සහතිකයෙන් නැවත ලබා ගත නොහැක. සහතිකය නමක් යතුරකට බැඳ තබන පොදු ද්‍රව්‍යයකි; එහි පුද්ගලික යතුරට ආපසු යන මාර්ගයක් හෝ මුරපද වාක්‍යය ගැන ඉඟියක් නැත. ප්‍රායෝගික විකල්ප වන්නේ යතුරේ බලයලත් උපස්ථයක් හෝ මෙහෙයුම්කරුගේ සාමාන්‍ය ක්‍රියාවලිය හරහා නිකුත් කරන ලද නව අනන්‍යතාවයකි. මුරපද වාක්‍යය 'නැවත ලබා ගැනීමට' යෝජනා කරන ඕනෑම අයෙකු එය අනුමාන කිරීමට යෝජනා කරයි.

නිරාවරණයට වෙනස් ප්‍රතිචාරයක් අවශ්‍යයි. එම යතුරම නව මුරපද වාක්‍යයකින් නැවත සංකේතනය කිරීම යතුරු ද්‍රව්‍ය වෙනස් නොකර තබයි, එබැවින් වෙනත් තැනක දැනටමත් විවෘත කර ඇති පිටපතක් තවමත් ක්‍රියා කරයි. අලුත්වැඩියාව වන්නේ පිවිසුම් තොරතුරු අවලංගු කිරීම හෝ ප්‍රතිස්ථාපනය කිරීමයි: නව යතුරක් සහ සහතිකයක් නිකුත් කර, බෙදාහැර, පැරණි එක සහකරු අඩවියේ විශ්‍රාම ගැන්වීමයි. එය සිදුවන තෙක්, ගොනු මුරපදය වෙනස් කිරීම ගෘහ කටයුත්තක් මිස බන්ධනයක් නොවේ. නව අනන්‍යතාවය ක්‍රියා කරන බව තහවුරු වූ පසුව පමණක් පැරණි ගොනුව උපස්ථවලින් ඉවත් කර තබන්න, සහ එය ප්‍රතිස්ථාපනය කළ අනුක්‍රමික අංකය හෝ ඇඟිලි සලකුණ සටහන් කරන්න.