OpenVPN tls-crypt-v2: waxa ay qabtaan furaha macmiilka iyo blob duuban
Profiilka tls-crypt-v2 waxa uu ka kooban yahay furaha xakamaynta macmiilka iyo nuqul duuban oo serverka kaliya furi karo. Hayso shay kasta iyo tallaabo kasta oo ka-noqodid si gooni ah.
Ku dhejinta profiil tls-crypt-v2 tikit waxay u muuqataa mid aan waxyeello lahayn ilaa aad tirisay waxa faylka ku jira. Furaha kanaalka xakamaynta macmiilka wuxuu ag taagan yahay nuqul sir ah oo isla furahaas ah, shayga saddexaadna, furaha duubista, weligiis kama tago serverka aqbala. Saddexdaas waxay ka jawaabaan su'aalo kala duwan oo ku saabsan haynta, wadaagga iyo ka-noqodka. Kala soociddoodu waxay xallinaysaa inta badan doodaha siyaasadda ka hor inta aysan bilaaban.
Waxa profiilka dhab ahaan ku jira
Qaybta macmiilka ee tls-crypt-v2 waa fure iyo nuqul duuban oo isaga ah. Macmiilku wuxuu u isticmaalaa furaha cad ka-hortagga kanaalka xakamaynta wuxuuna serverka siiya nuqulka duuban inta lagu jiro habaynta, sidaas darteed serverku wuxuu soo ceshanayaa isla furaha isagoo aan kaydin nuqul qoraal cad ah macmiil kasta. Furaha duubistu wuxuu suurtogal ka dhigaa soo ceshankaas wuxuuna ka tirsan yahay dhinaca aqbala oo keliya. Wax kasta oo hoose waxay ka yimaadaan halka saddexdaas shay ay ku nool yihiin.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
Akhri shaxda iyadoo la eegayo haynta halkii magaca, natiijooyinkuna iskood ayay u caddaanayaan. Luminta furaha duubistu waa dhacdada qaalisan, maxaa yeelay wax profiilka ku jira ma dib u dhisi karo oo soo ceshanka daacadda ah waa dib u soo saarista kooxda. Profiil daatay waa ka jaban laakiin aad uga caadi ah, maxaa yeelay dadku waxay profiillo ku dhejiyaan tikitiyo iyagoo aaminsan in nuqulka duuban uu faylka ka dhigayo mid badbaado u leh wadaagga. Labada guul-darro waxay u baahan yihiin jawaabo kala duwan, taasina waa sababta shayada loo hayo gooni.
Sababta nuqulka duuban aanu ahayn sheekada oo dhan
Profiilku wuxuu qaadaa maaddada macmiilka ee la isticmaali karo oo ay la socoto dhiggeeda duuban, sidaas darteed ilaalinta nuqulka serverka waxba kama sheegto ilaalinta faylka. Blobku waa badbaado u leh gudbinta mana aha badbaado u leh daabacaadda. Xogta dhexdeeda ku jirta waxay u muuqataa qof kasta oo hela blobka, oo ay ku jiraan qof kasta oo mar dambe akhriya tikiska lagu dhejiyay.
U qaado profiilka sidii aqoonsi gelitaan, ma aha tusaale habaynta. Faylka daatay wuxuu milkiilaha siinayaa aqoonsi macmiil shaqeeya ilaa serverku joojiyo aqbalida aqoonsigaas, duubistuna waxba kama qabato daaqadaas. Soo saar hal profiil macmiil kasta, si ka-noqodku u ahaado go'aan fayl keliya, oo kaydi furaha duubista si gooni ah uga fog habaynta serverka uu suurtogeliya. Midkoodna caadooyinka ma hagaajiyo profiil la waxyeeleeyay, laakiin labaduba waxay go'aamiyaan sida degdeg ah loo xakameyn doono kan xiga.
Halka qabashada xaqiijinta ku taal isku-salanka gacanta
Qabashada xaqiijintu waxay shaqaysaa ka hor inta aan la muujin lakabka TLS, hawshaaduna waa inay baarto xogta lagu qaado blobka duuban. Waxay heshaa xogtaas iyo deegaan yar oo la diiwaangeliyay, waxayna haysataa wax yar oo ay ku shaqayso marka loo eego qabashada aqoonsiga. Maleynta inay aragto magacyada isticmaalayaasha, xaaladda fadhi ama doorsoomayaasha plugin waa habka caadiga ah ee qabashadan si xun loo qoro. Akhri qaybta buugga qabashada lafteeda halkii aad ka amaahan lahayd filashooyin qabasho kale.
Xaaladda bixitaankeedu waa go'aanka: natiijo aan eber ahayn waxay diiddaa macmiilka natiijo eber ahna waxay u ogolaataa isku-salanka inuu sii socdo. Sidaas darteed siyaasaddu waa inay sheegto waxa dhaca marka xogta maqan tahay, aan la falanqayn karin ama aan la filayn. Marka hore qor wadada diidmada, ka dib go'aanso qiyamka la aqbali karo.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shLabadaas sadar waa dusha siyaasadda serverka: mid wuxuu magacaabaa furaha duubista, midka kalena wuxuu magacaabaa barnaamijka qiimeeya macmiil kasta. Wax kasta oo xiiso leh waxay ku nool yihiin qoraalka, kaas oo u qalma xakamaynta nooca iyo dib u eegis la mid ah qaynuun kasta oo kale oo gelitaan.
Akoonka, shahaadada iyo furaha xakamaynta si gooni ah ayay uga baxaan
Aqbalida hore ee kanaalka xakamaynta ma aha aqoonsi, maxaa yeelay waxay dhacdaa ka hor hubinta aqoonsiga TLS iyo ka hor ogolaansho kasta oo akoon. Damiyo akoon, burin shahaado iyo diidmo furaha xakamaynta macmiilka waa saddex fal oo leh saddex hab. Baahinta sameysa midkood oo keliya waxay leedahay dalool ma aha siyaasad. Si ula kac ah u waafaji saddexda, oo qor tallaabada kee awood kee ku dhaqmo.
Waqtigu waa farqiqa labaad. Liiska aqbalida ee la beddelay wuxuu khuseeyaa isku-salanka cusub, halka fadhiyada hore loo aasaasay ay sii socdaan ilaa wax ka joojiyo. Tirinta gelitaanka liiska cusub sida caddaynta in fadhiyadii hore dhammaadeen waa sida macmiil la saaray uu saacado ku xiran yahay.
Awoodaha aan la waafajin waxay ka tagaan laba dalool oo si fudud looga helo dhaqanka. Akoon waa la damin karaa iyadoo furaha xakamaynta uu weli furayo isku-salan, shahaadana waa la burin karaa iyadoo siyaasadda xogta ay weli aqbalayso isla macmiilka. Labaduba waa khalad isku mid ah oo meelo kala duwan, maxaa yeelay hawlwadeenku wuxuu hal liis u qaatay awoodda oo dhan. Marka la saarayo is dhig saddexda liis, khaladkuna wuu muuqanayaa.
Soo saarista iyo ka-noqodka profiilka
Soo saaristu waa qaybta fudud: samee furaha macmiilka dhinaca aqbala, u dhiib profiilka hal milkiile oo sax ah, hay maaddada duubista oo xaddidan, oo ku socodsii isla barnaamijka xaqiijinta server kasta oo aqbala. Gelitaanka jaban waa sifo kooxda oo dhan, ma aha midda martigeliyaha ugu cusub. Server labaad oo leh qoraal duug ah ama dabacsan ayaa si aamusan u noqda wadada ugu liita baahinta.
Ka-noqodku wuxuu u baahan yahay saddexda tallaabo si ula kac ah. Diid macmiilka qabashada xaqiijinta si isku-salanka cusub u guuldareysto, buri shahaadadiisa haddii PKI la isticmaalayo, oo dami akoonka si ogolaanshaha dambe aanu wax u ogolaan. Ka dib jooji fadhiyadii aqbalida hore u ogolaatay, maxaa yeelay saddexda midkoodna ma arki doonaan. Ku tababar tallaabada macmiil aad awood u leedahay inaad jebiso.
Xogta profiilka ku jirta waa gelin loogu talagalay siyaasaddaas, ma aha caddayn in xakamaynta gelitaanku hore u jirto. Dukumeentiga naqshadeynta OpenVPN 2.6 wuxuu sharraxayaa shayada iyo xadka ay sawiraan, halka fulintu ay la tahay hawlwadeenka.