Je ten zverejnený kľúč OpenVPN CA, kľúč partnera alebo tls-auth?

Niekto nahlási, že kľúč VPN je verejný, a táto veta skrýva tri úplne odlišné situácie. Môže ísť o certifikát CA, ktorý má mať každý klient, súkromný identitný kľúč, ktorý nikdy nemal opustiť jeden stroj, alebo zdieľané tajomstvo riadiaceho kanála, ktoré musia mať obe strany. Oprava, naliehavosť aj rozsah dopadu sa v každom prípade líšia, takže prvou úlohou je klasifikácia, nie akcia. Ak pomýlite kategóriu, každý ďalší krok je zbytočná práca.

Začnite direktívou, nie názvom súboru

Prečítajte aktívnu konfiguráciu a zistite, ktorá direktíva ukazuje na dotknutý materiál. Voľby TLS v OpenVPN používajú ca pre dôveryhodný certifikátny materiál, cert pre certifikát miestneho partnera a key pre súkromný kľúč, ktorý k nemu patrí.

Názvy súborov nič nedokazujú. Súbor s názvom key.pem môže obsahovať certifikát a vložený blok v profile môže obsahovať presne ten istý objekt ako samostatný súbor na disku. Otvorte súbor a pozrite sa na jeho hlavičku, namiesto toho, aby ste verili názvu. Táto jediná kontrola odstráni väčšinu nejasností v hlásení.

Ak je profil balík PKCS#12, rozbaľte ho na kontrolovanom mieste, aby ste videli, čo skutočne obsahuje. Jeden balík môže niesť certifikát, jeho reťazec a súkromný kľúč, čo znamená, že únik balíka je únikom všetkých troch.

Zapíšte klasifikáciu skôr, než niekto zmení súbor: objekt, direktíva, ktoré strany ho majú a kto ho môže čítať. Na tejto vete závisí zvyšok reakcie.

Certifikát CA je navrhnutý na zdieľanie

Verejný certifikát CA je materiál dôvery. Klienti ho potrebujú na overenie servera a jeho distribúcia je bežný prípad, nie incident. Jeho zverejnenie nezverejňuje súkromný podpisový kľúč CA, a práve ten objekt by útočníkovi umožnil vytvárať nové identity.

Tento rozdiel stojí za to výslovne uviesť v tikete, pretože sa obe veci neustále zamieňajú. Otázkou na zodpovedanie je, či je uniknutý súbor certifikát alebo podpisový kľúč, a rýchly pohľad do obsahu súboru to rozhodne. Certifikát nesie verejný kľúč a podpis; podpisový kľúč sa v ňom vôbec neobjavuje.

Distribúcia si napriek tomu zaslúži pozornosť. Klienti by mali certifikát získať schválenou cestou doručovania profilov, nie z webu na vkladanie, a certifikát, ktorý dorazí nedôveryhodnou cestou, môže byť cestou nahradený.

Kľúč partnera a tajomstvo tls-auth nie sú

Súkromný kľúč partnera je identitný materiál. Po skopírovaní už server nedokáže odlíšiť zamýšľané zariadenie od kohokoľvek, kto má kópiu, pretože výlučné vlastníctvo bolo tou vlastnosťou, ktorá sa preukazovala. Pokračovanie autorizácie a výmena sú rozhodnutia vlastníka VPN, nie toho, kto súbor našiel.

Tajomstvo tls-auth je tretia vec. Pridáva HMAC overovanie okolo paketov riadiaceho kanála, aby sa nesprávne overené pakety zahodili ešte pred výmenou TLS, a nie je to súkromný kľúč partnera ani kľúč, ktorý šifruje dáta aplikácie.

Ak je toto zdieľané tajomstvo verejné, bariéra, ktorú poskytovalo, je preč pre každého, kto ho má. Z toho nevyplýva, že každý držiteľ prejde kontrolami certifikátu a používateľa za ňou, a preto je klasifikácia dôležitejšia ako stupeň poplachu. Povedzte, ktorá bariéra padla, a povedzte, ktoré zostávajú.

Opravte rolu, ktorá unikla, nie susednú

Zdieľané tajomstvo sa nedá znova urobiť súkromným premenovaním súboru alebo skrytím odkazu na stiahnutie. Výmena znamená vygenerovať novú hodnotu a v koordinovanej zmene ju distribuovať každému partnerovi, a výmena len jednej strany pokazí dohodu všetkým, ktorí ešte majú starú hodnotu.

Ak bola identita partnera odhalená, použite pre tú identitu operátorov proces odvolania a opätovnej registrácie. Zmena hesla nesúvisiaceho účtu skopírovaný certifikát neznehodnotí, a výmena súboru tls-auth tiež nie.

Skôr než sa na čokoľvek z toho spoľahnete, overte, čo nasadený server skutočne vynucuje. Zoznam odvolaní, ktorý sa neobnovuje, alebo kontrola role, ktorá bola počas výpadku vypnutá, menia odpoveď úplne. Čítajte bežiacu konfiguráciu, nie kópiu v repozitári.

Posudzujte minulú prevádzku podľa jej vlastných podmienok

Odhalený súbor sám o sebe nehovorí, či sa dajú skôr zachytené relácie dešifrovať. Závisí to od metódy ustanovenia kľúča, odhaleného materiálu a od toho, aké záznamy existujú, a oboje – „celá prevádzka je stratená“ aj „nič sa nestalo“ – sú bez týchto faktov dohady.

Nezverejňujte ďalšiu kópiu poverení, keď sa pýtate, do ktorej kategórie patria. Namiesto toho zdieľajte názvy direktív a nesekretné metadáta schválenou cestou podpory.

Užitočný záver pomenuje objekt, jeho rolu, stratenú ochranu a požadovanú koordinovanú akciu. Čokoľvek kratšie je titulok, nie hodnotenie.