auth ඩයිජස්ට් ආරක්ෂා කරන්නේ කුමන OpenVPN පැකට්ද?
auth විකල්පය ප්‍රොෆයිලයක් යෝජනා කරන ප්‍රමාණයට වඩා අඩුවෙන් ආවරණය කරයි. ඩයිජස්ට් ප්‍රතිපත්තියක් සකසීමට පෙර චැනලය, AEAD අවස්ථාව සහ පාලක චැනල ආරක්ෂණය සලකා බලන්න.
OpenVPN ඩයිජස්ට් ගැන බොහෝ තර්ක ආරම්භ වන්නේ වැරදි පැකට්ටුවෙනි. auth SHA256 “SHA256 ලබා දෙන සහකරුවන් පමණක් පිළිගන්න” ලෙස කියවීම මුලින්ම අමතක කළ යුතු දෙයයි. විකල්පය නිශ්චිත පැකට් සඳහා ඩයිජස්ට් එකක් නම් කරයි, එම පැකට් මොනවාද යන්න රඳා පවතින්නේ චැනලය මත සහ එම චැනලය AEAD ද යන්න මතය. පහත ප්‍රශ්න හතර පිළිවෙලින් සලකා බලන්න; එක් එක් එක ඔබේ පිහිටුවීමේදී මෙම සැකසුමට තිබිය හැකි අර්ථය පටු කරයි.
සැකසුම ආරක්ෂා කළ යුතු චැනලය නම් කරන්න
OpenVPN සතුව TLS අත් සෙල්ලම් ගමනාගමනය රැගෙන යන පාලක චැනලයක් සහ ටනලයේ පේලෝඩය රැගෙන යන දත්ත චැනලයක් ඇත. auth ඩයිජස්ට් දෙකෙහිම භූමිකාවක් ඇත, නමුත් එකම භූමිකාව නොවේ, ප්‍රොෆයිලය වෙනස දකින්නට සලස්වන්නේ කලාතුරකිනි. වින්‍යාස ගොනුවක් ස්පර්ශ කිරීමට පෙර ඔබ දෙකෙන් කුමක් සීමා කිරීමට උත්සාහ කරන්නේද යන්න ලියන්න.
පහත වගුව එම විකල්පය එක් එක් සන්දර්භයේදී ගොඩ බසින ආකාරයේ කෙටි අනුවාදයයි.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
එය මත රඳා පැවතීමට පෙර දත්ත චැනලය AEAD ද යන්න පරීක්ෂා කරන්න
සාකච්ඡා කළ දත්ත සයිෆරය AES-GCM හෝ CHACHA20-POLY1305 නම්, දත්ත චැනලය තමන්ම සත්‍යාපනය කරන අතර වෙන් වූ ඩයිජස්ට් ඔබ සිතන කාර්යය ඉටු නොකරයි. දෙකම AEAD ගොඩනැගීම් බැවින්, පේලෝඩය සංකේතනය කරන එම ක්‍රියාවෙන්ම අඛණ්ඩතාව නිපදවයි. මෙය මට්ටම් අඩුවීමක් නොවේ, නමුත් “සෑම දත්ත පැකට්ටුවක්ම HMAC-SHA256” ලෙස සාධාරණීකරණය කරන ප්‍රතිපත්තිය එම ටනලයේ සත්‍ය වශයෙන්ම වැරදිය. ප්‍රතිපත්තිය නැවත ලිවීමට පෙර සර්වර් ලොගයේ හෝ සේවාදායක තත්ත්ව ප්‍රතිදානයේ සාකච්ඡා කළ අගය තහවුරු කරන්න.
ප්‍රොෆයිලයේ ලැයිස්තුව වෙනුවට සැබවින්ම සාකච්ඡා කළ සයිෆරය පරීක්ෂා කරන්න, මන්ද සාකච්ඡාව කුලකයේ වෙනත් සාමාජිකයෙකු වෙත වැටිය හැක. data-ciphers AES-256-GCM:AES-128-GCM සාකච්ඡා ලැයිස්තුවක් වන අතර, ඇතුළත් කිරීම් දෙකම AEAD බැවින්, ඒවායින් කිසිවක් පේලෝඩ ආරක්ෂණය සඳහා auth ඩයිජස්ට් පරිභෝජනය නොකරයි.
පාලක චැනල ආරක්ෂණය වෙනම තීරණයක් ලෙස සලකන්න
tls-auth පාලක චැනල පැකට්වලට HMAC එකක් එකතු කර එහි ඩයිජස්ට් auth සැකසුමෙන් ලබා ගනී, එබැවින් AEAD ටනලයකට තවමත් අර්ථවත් ඩයිජස්ට් එකක් වින්‍යාස කර තිබිය හැක. tls-crypt එහිම ස්ථිර ආරක්ෂාව සහිත වෙනත් සැකැස්මකි, එබැවින් එය tls-auth හි සෑම ගුණාංගයක්ම උරගානු ලබන බව නොසිතන්න. උපකල්පන ඒවා අතර මාරු කිරීම වෙනුවට ඔබ තෝරාගත් ක්‍රියාවලියේ ලේඛන කියවන්න.
සහකරුවන් දෙදෙනා සැකැස්ම සහ යතුරේ දිශාව පිළිබඳවද එකඟ විය යුතුය. ගැළපෙන ඩයිජස්ට් එකක් නමුත් වැරදි දිශාවට භාවිත කළ යතුරු ගොනුවක්, ඩයිජස්ට් සැකසුමට පැහැදිලි කළ නොහැකි හේතූන් නිසා අසාර්ථක වන අත් සෙල්ලමක් නිපදවයි.
auth සයිෆර සාකච්ඡා සහ සහතිකවලින් වෙන් කර තබන්න
සැකසුම් තුනක් නිරන්තරයෙන් මිශ්‍ර වේ: auth ඩයිජස්ට්, දත්ත සයිෆර ලැයිස්තුව සහ සහතිකයේ අත්සන් ඇල්ගොරිතම. පළමුවැන්න වෙනස් කිරීමෙන් සහතිකයක් නැවත නිකුත් නොවේ, එහි අත්සන් ඩයිජස්ට් තෝරා නොගැනේ, පරිශීලක-මුරපද ක්‍රමයක් නිර්මාණය නොවේ. ප්‍රොටොකොල විකල්පවල අර්ථ දැක්වීම් OpenVPN 2.6 මූලාශ්‍රවල එක් එක් ඒවා තමන්ගේම කොටසක විස්තර කරයි, ඒවා ස්වාධීන නොබ බව මතක් කිරීමක් වන අතර එය ප්‍රයෝජනවත් ය.
ඩයිජස්ට් වෙනස් කිරීමෙන් පසු සහකරු සම්බන්ධ වීමට ප්‍රතික්ෂේප කරන්නේ නම්, හේතුව සාමාන්‍යයෙන් අනෙක් සැකසුම් දෙකෙන් එකක ගැළපීමක් නොවීමයි. ඕනෑම එකක් වෙනස් කිරීමට පෙර දෙපසම කියවන්න.
ප්‍රතිපත්තිය ලියා ධාවනය වන වින්‍යාස සමඟ සසඳන්න
කණ්ඩායම් මට්ටමේ ප්‍රකාශයක් අවසර දෙන දත්ත චැනල මාදිලි සහ තෝරාගත් පාලක චැනල ආරක්ෂණය එකම වාක්‍යයක පැහැදිලිව නම් කළ යුතුය. එම වාක්‍යය පරීක්ෂා කළ හැකිය; “අපි SHA256 භාවිත කරමු” නොවේ. පසුව එය ගබඩාවක අච්චුවක් සමඟ නොව, ඵලදායී සර්වර් සහ සේවාදායක ප්‍රොෆයිල සමඟ සසඳන්න.
එක් එක් ටනලය සැබවින්ම සාකච්ඡා කළ දේ සහ එහි පැකට් සත්‍යාපනය කළ ක්‍රියාවලිය සටහන් කර අවසන් කරන්න. ප්‍රොෆයිලයක දිස්වන auth පේළිය වින්‍යාස අභිප්‍රායේ සාක්ෂියක් පමණි, අභිප්‍රාය පරීක්ෂාවේ ලාභම කොටසයි.