Sababta openssl rand uusan u abuuri karin furaha tls-crypt doonayo

OpenSSL horey ayaa loo rakibay, martigeliyaha waxa uu leeyahay entropy, oo fure ku abuurista isaga waxay u muuqataa dariiqa gaaban ee iska cad. Natiijadu waxay noqon doontaa mid random ah oo sir ah oo gabi ahaanba aan la isticmaali karin, guuldaraduna waxay iman doontaa sida khalad kanaalka kontoroolka ah halkii ay ahaan lahayd wax sheegaya qaabka furaha. Jahawareerkaas ayaa ah qaybta qaalisan, sababtoo ah waxay dadka u dirtaa inay baadhaan ciphers-kooda. Waxa VPN-u akhriyo waa qaab fayl gaar ah, ma aha baloog baytiyo aan loo baahnayn, oo mid ka mid ah noocyada astaamaha gabi ahaanba lama soo saari karo serverka dibaddiisa.

Waxa faylka diskiga ku yaal runtii ay tahay inuu noqdo

Faylka furaha static ee OpenVPN waa qoraal. Waxa uu ku bilaabmaa sadar faallo ah oo caddaynaya waxa uu yahay, waxa uu qaadaa xogta hex ee safafka ballac go'an, oo wadarta guud waa 256 bayt oo maaddo fure ah. OpenVPN waxa uu u akhriyaa sida sirta la wadaaga kanaalka kontoroolka, ma aha shahaado, ma aha erey sir ah oo ma aha wax ay maktabadda TLS aqoonsan lahayd.

Isku mid nooca shayga ayaa u adeega labada astaamood ee kanaalka kontoroolka. Tls-auth, peer kastaa waxa uu sidoo kale u baahan yahay jihada si aan baytiyada dhinac mid ah dib loogu milicsan karin isaga. Tls-crypt, hal sir la wadaaga ayaa sireeya oo xaqiijiya kanaalka kontoroolka labada jiho, taas oo qarinaysa gacan-qabsiga iyo sidoo kale ilaalinaysa.

Wax ka mid ah taas ma aha aqoon sir ah, qaabkuna ma aha qodobka. Qodobku waa in faylku si sax ah ugu habboonaado waxa akhristuhu filayo: madaxa, ballaca safka, sadarka cusub ee ugu dambeeya iyo dhererka guud. Fayl hal sadar ka qaldan waxa loo rarayaa sida qashin ama gabi ahaanba wuu guuldarraystaa. Sidaas darteed isbarbardhigga laba peer bayt-bayt waa tijaabo koowaad oo sharci ah, waana ka dhaqso badan akhrinta mid ka mid ah labada fayl ee habaynta.

Habka la taageeray ee mid loo abuuro

Ku abuur furaha static ee fudud qalabka isticmaali doona, ka dibna labada daraf ka tixraac:

openvpn --genkey secret /etc/openvpn/tc-shared.key
tls-crypt /etc/openvpn/tc-shared.key

Qoraalka ikhtiyaarka wuu isbeddelay waqti ka dib: rakibaadyo hore oo xilligii 2.4 ah waxay isticmaaleen qaab calan gaar ah leh oo ka horreeya magaca faylka, halka dhismayaasha hadda ay aqbalaan kan gaaban. Si kastaba ha ahaatee faylka soo baxa waa isla nooca shayga, sidaas darteed hubintu waa in labada peer ay leeyihiin baytiyo isku mid ah.

Jiilka labaad waxa uu ku daraa qaab aan wax soo saare dibadeed oo aan ikhtiraaci karin. Fure server hal mar ayaa la abuuraa, macmiil kastaa waxa uu helaa fure duuban oo ka soo jeeda:

openvpn --genkey tls-crypt-v2-server /etc/openvpn/tc-v2-server.key
openvpn --genkey tls-crypt-v2-client /etc/openvpn/laptop1.key --tls-crypt-v2 /etc/openvpn/tc-v2-server.key

Waxa macmiilku helo ma aha furaha serverka laftiisa oo la nuqulay. Waa shay duuban oo qaada metadata ay keliya serverku furan karo, duubistaasna waa sababta fayl qalab kasta looga noqon karo mid la tirtiray isaga oo aan taaban qalab kale. Ku hay furaha serverka serverka dushiisa oo u qaado sida xididka kalsoonidaas qalab kasta.

Halka baytiyada gacan-ku-sameysan ay ku burburaan

Daabacaadda 256 bayt oo random ah sida hex hoosta madax sax ah ayaa aragti ahaan keeni lahayd fayl fure static ah oo la rarayo. Weli waa fikrad xun. Faahfaahin kasta oo qaabaynta ah waxay noqotaa fursad lagu soo saaro maaddo ku guuldarraysta rarka ama, ka sii xun, uga tagta laba peer oo leh qiyam kala duwan oo keliya u muuqda guuldarro xaqiijin.

Wax u dhigma ma suurtogalo nooca v2. Fure macmiil oo duuban wuxuu u jiraa keliya sida wax soo saar ka socota habka furaha serverka, serverkuna waxa uu hayaa maaddada loo baahan yahay in la furo. Baloog random ah waa la diidi doonaa ama si fudud ma furi karo, labada fariin midkoodna ma sheegan doono randomnimo.

Isku-dhaca nooca waxa uu ka sarreeyaa waxaas oo dhan. Jiilka koowaad waxa uu u baahan yahay sii-deyn taageerta labada daraf, jiilka labaadna mar kale waxa uu u baahan yahay sii-deyn cusub. Macmiil la dhisay ka hor inta aanu astaamuhu jirin ma dhammaystiri karo gacan-qabis server leh oo aqbala keliya maaddo duuban, guuldarrada uu soo sheegana waxay tilmaamaysaa kanaalka kontoroolka halkii ay tilmaami lahayd nooca.

Wareegid iyada oo aan qof walba dibadda loo xidhin

Hal sir la wadaaga wareegiddiisu waa layli isku-dubarid, ma aha mid farsamo. Macmiil kastaa waxa uu gacanta ku hayaa faylka beddelka ka hor inta aanu serverku ka noqon kii hore, mishiin kastoo weli haya qiimihii hore wuu guuldarraystaa isla daqiiqadaas. Ha bilaabin wareegiddaas badhtamaha maalin shaqo.

Habaynta v2, wareegiddu waa qalab kasta: soo saar fure duuban oo cusub hal mishiin oo ka fariiso kan hore keliya mishiinkaas. Taasaa waa doodda ugu weyn ee loo guurayo marka macmiil kastaa ku jiro sii-deyn taageerta.

Ogolaanshaha faylka waxa uu ka mid yahay isla wada hadalka. Furaha waa in uu ahaadaa mid la akhriyi karo oo keliya akoonka maamula adeegga, oo waa in uusan ku noolaan isla kaydka borofaylada uu ilaalinayo. Tixraaca OpenVPN 2.6 waxa uu diiwaangeliyay qaababka abuurista iyo qaybaha maaddada furaha, taas oo ah isha ka wanaagsan amar laga koobiyeeyay post forum.