Je ta objavljeni ključ OpenVPN CA, ključ partnerja ali tls-auth?

Nekdo sporoči, da je ključ VPN javen, in ta stavek skriva tri povsem različne situacije. Lahko gre za potrdilo CA, ki bi ga moral imeti vsak odjemalec, zasebni identitetni ključ, ki ne bi smel nikoli zapustiti enega stroja, ali skupno skrivnost krmilnega kanala, ki jo morata hraniti oba konca. Popravilo, nujnost in obseg škode se v vsakem primeru razlikujejo, zato je prva naloga razvrščanje, ne ukrepanje. Če se zmotite pri kategoriji, je vsak nadaljnji korak zaman.

Začnite pri direktivi, ne pri imenu datoteke

Preberite aktivno konfiguracijo in ugotovite, katera direktiva kaže na zadevno gradivo. Možnosti TLS v OpenVPN uporabljajo ca za zaupanja vredno potrdilo, cert za potrdilo lokalnega partnerja in key za zasebni ključ, ki mu pripada.

Imena datotek ne dokazujejo ničesar. Datoteka z imenom key.pem lahko vsebuje potrdilo, vgrajeni blok v profilu pa lahko vsebuje točno isti objekt kot ločena datoteka na disku. Odprite datoteko in poglejte njeno glavo, namesto da bi zaupali imenu. Ta ena preveritev odpravi večino nejasnosti v poročilu.

Če je profil paket PKCS#12, ga razpakirajte na nadzorovanem mestu, da vidite, kaj v resnici vsebuje. En paket lahko nosi potrdilo, njegovo verigo in zasebni ključ, kar pomeni, da je uhajanje paketa uhajanje vseh treh.

Zapišite razvrstitev, preden kdo spremeni datoteko: objekt, direktiva, kateri partnerji jo imajo in kdo jo lahko bere. Od tega stavka je odvisno preostalo odgovora.

Potrdilo CA je namenjeno deljenju

Javno potrdilo CA je gradivo zaupanja. Odjemalci ga potrebujejo za preverjanje strežnika, njegova razdelitev pa je običajen primer in ne incident. Objava ga ne objavi zasebnega podpisnega ključa CA, in prav ta objekt bi napadalcu omogočil ustvarjanje novih identitet.

To razliko velja izrecno zapisati v zahtevek, ker se oba pojma nenehno mešata. Vprašanje, na katero je treba odgovoriti, je, ali je uhajala datoteka potrdilo ali podpisni ključ, in hiter pogled v vsebino datoteke to razreši. Potrdilo nosi javni ključ in podpis; podpisnega ključa v njem sploh ni.

Razdelitev si vseeno zasluži skrb. Odjemalci bi morali potrdilo pridobiti po odobreni poti dostave profilov, ne s spletnega mesta za lepljenje, in potrdilo, ki prispe po nezanesljivi poti, je lahko na poti zamenjano.

Ključ partnerja in skrivnost tls-auth nista

Zasebni ključ partnerja je identitetno gradivo. Ko je kopiran, strežnik ne more več ločiti predvidene naprave od vsakogar, ki ima kopijo, ker je bilo izključno posedovanje tista lastnost, ki se je dokazovala. Nadaljevanje avtorizacije in zamenjava sta odločitvi lastnika VPN, ne tistega, ki je datoteko našel.

Skrivnost tls-auth je tretja stvar. Doda preverjanje HMAC okoli paketov krmilnega kanala, da se nepravilno overjeni paketi zavržejo pred izmenjavo TLS, in ni niti zasebni ključ partnerja niti ključ, ki šifrira podatke aplikacije.

Če je ta skupna skrivnost javna, je ovira, ki jo je nudila, izginila za vse, ki jo imajo. Iz tega ne sledi, da vsak imetnik opravi preverjanja potrdila in uporabnika za njo, zato je razvrstitev pomembnejša od ravni alarma. Povejte, katera ovira je padla, in povejte, katere ostajajo.

Popravite vlogo, ki je uhajala, ne sosednje

Skupne skrivnosti ni mogoče znova narediti zasebne s preimenovanjem datoteke ali skrivanjem povezave za prenos. Zamenjava pomeni ustvariti novo vrednost in jo v usklajeni spremembi razdeliti vsakemu partnerju, zamenjava samo ene strani pa pokvari dogovor vsem, ki še imajo staro vrednost.

Če je bila identiteta partnerja razkrita, uporabite operaterjev postopek preklica in ponovne registracije za to identiteto. Sprememba gesla nepovezanega računa ne razveljavi kopiranega potrdila, zamenjava datoteke tls-auth pa tudi ne.

Preden se zanesete na karkoli od tega, potrdite, kaj nameščeni strežnik dejansko uveljavlja. Seznam preklicev, ki se ne osvežuje, ali preverjanje vloge, ki je bilo med izpadom izklopljeno, popolnoma spremenita odgovor. Berite delujočo konfiguracijo, ne kopije v skladišču.

Presojajte pretekli promet po njegovih lastnih pogojih

Razkrita datoteka sama po sebi ne pove, ali je mogoče prej zajete seje dešifrirati. To je odvisno od metode vzpostavitve ključa, razkritega gradiva in tega, kateri zapisi obstajajo, in oboje – „ves promet je izgubljen“ in „nič se ni zgodilo“ – sta brez teh dejstev ugibanje.

Ne objavljajte še ene kopije poverilnic, medtem ko sprašujete, kateri kategoriji pripadajo. Namesto tega delite imena direktiv in ne-tajne metapodatke po odobreni poti podpore.

Uporaben sklep poimenuje objekt, njegovo vlogo, izgubljeno zaščito in potrebno usklajeno dejanje. Vse krajše je naslov, ne ocena.