Raadinta baakadaha xakamaynta OpenVPN: tls-auth ka hor TLS

Guuldarada tls-auth waxaa badanaa loo soo sheegaa dhibaato is-gacan-qaad, walaseysanayd waligeed. HMAC waxaa lagu hubiyaa baakadda xakamaynta ka hor inta aanay wax TLS ah dhicin, sidaas darteed fure ama jiha aan isku beegnayn waxay soo saartaa guuldarro u eg dhibaato shahaado oo laba lakab ka hor la go'aamiyo. Baallaha u qaadan shay u gaar ah waxay gaabinaysaa ogaanshaha: akhri goobaha, xaqiiji in hubinta goor hore dhacdo, ka dibna is barbar dhig saddexda shay ee labada dhinac ay tahay inay ku heshiiyaan.

Akhri baallaha sida loo dhisay

Baakadda xakamaynta waxay qaadaysaa aqoonsiga fadhiga, HMAC-ga tls-auth ee ikhtiyaariga ah, macluumaadka ku-celinta iyo aqbalista, iyo aqoonsiga fariinta la isku halayn karo, ka dibna culeyska nooca fariinta ayaa yimaada. Marka fariintu tahay fariin is-gacan-qaad, culeysku waa qoraal sir ah TLS. Xiriirka oo dhan waa kan: maaddada TLS waxay ku dhex safartaa fariin uu baalluhu horey u ilaaliyo. Eeg tixraaca borotokoolka shabakada OpenVPN oo liis garaya goobaha kanaalka xakamaynta sidaas oo kale.

Lakabka isku-hallaynta si fudud ayaa loogu khaldaa cryptography. Aqbalisyada, dib-u-diridda iyo aqoonsiga fariintu waxay u jiraan in fariimaha xakamaynta hal mar oo nidaamsan ku yimaadaan gaadiid aan la isku hallayn karin. Ma aha xaqiijin, aqoonsiga fariinta saxda ahna waxba kama caddaynayo cidda baakadda dirtay.

U hayso kooxayntan mid fikrad ah. Ma aha jaantuska nidaamka byte, kumana filna xisaabinta tag, sababtoo ah goobaha HMAC-ga gala waxay ku xiran yihiin fulinta, nooca iyo habka.

Muuji in hubintu ka hor dhacdo is-gacan-qaadka

Qaataha haysta furaha la wadaago wuu xaqiijin karaa HMAC-ga oo isla markiiba tuuri karaa baakad been abuur ah, isagoon qoondeynin xaalad is-gacan-qaad ama shaqo fure dadweyne samayn. Difaacu wuxuu daboolaa baakadaha is-gacan-qaadka ee ugu horreeya, taasina waa sababta fure khaldan ugu muuqdo xiriir guuldarreysan halkii uu ahaan lahaa khalad xaqiijin oo soo daahay.

Kordhi hadalka daemon-ka oo fiiri kanaalka xakamaynta halkii aad ka fiirsan lahayd qalabka tun:

openvpn --config /etc/openvpn/server.conf --verb 6

Waxa aad raadineyso waa guuldarro xaqiijinta HMAC ee kanaalka xakamaynta oo lagu soo sheegay heerka baakadda, ka hor wax digniin TLS ah. Digniin TLS oo ku jirta diiwaanka waxay ka dhigan tahay in baallaha la aqbalay oo guuldaradu gudaha u guurtay, taasoo ah baaritaan kale oo leh xal kale.

Maareynta jihada sidoo kale halkan ayay ku taal. Marka fayl fure ma guurtan ah lagu isticmaalo tls-auth, labada dhinac waxay qaataan jihooyin fure oo iska soo horjeeda, borotokoolkuna wuxuu isticmaalaa kala qaybintaas si baakad la qabtay aan dib loogu tarin karin soo-diraha. Jihada roganaanta furaha isku mid ayay ka dhigtaa haddana baakad kastaa way guuldarreysaa. Beddel hal dhinac mar, ka dibna dib u bilow labada daemon si labada ay wada raraan.

Isku beel fure, jiha iyo digest labada dhinac

Sadex qiime waa inay heshiiyaan oo mid keliya ayaa fayl ah. Mawduuca furaha ma guurtan ah waa inuu labada dhinac isku mid noqdaa, jihadu waa inay ka soo horjeedaa, digest-ka HMAC-ga loo isticmaalo waa inuu isku beegmaa. Hubi habaynta ka hor inta aadan taaban maaddada furaha, sababtoo ah hal jiha oo rogan ayaa sharaxaysa guuldarrooyin badan marka loo eego fayl xumaaday:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

Abuur sirta la wadaago qalabka halkii aad ka abuuri lahayd tifaftire, oo hayso oggolaanshaha adag:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

Noocyadii hore waxay aqbaleen nidaam xulasho yara duwan abuurista furaha, borotokoolada loo qoray noocyadaasna weli way wareegaan. Faylka la abuuray waa isla nooc shay labada xaaladba, sidaas darteed hubintu waa in labada dhinac ay hayaan byte isku mid ah, ma aha qoraalka keliya ee abuuray.

Ha ku khaldin tls-auth iyo tls-crypt. Labaduba waxay ilaaliyaan kanaalka xakamaynta, laakiin tls-crypt waxay sidoo kale sireysaa oo ka qarinaysaa is-gacan-qaadka goob-joogayaasha, waxayna ku beddelaysaa kala qaybinta jihooyinka maareyn fure oo u gaar ah. Borotokool isticmaalaya mid kama shaqeyn doono lammaane loo habeeyay kan kale, waxna digest ah ma xidho farqigaas.

Dib u soo saar tag kaliya qaabka dhabta ah

Dib-u-soo-saarid byte-sax ah waa hawl ka duwan socodsiinta VPN, waxayna kaliya ku shaqaysaa gelinta dhabta ah: fulinta iyo nooca dhisay baakadda, digest-ka la doortay, jihada, iyo byte-yada dhabta ah oo ay ku jiraan aqoonsiga fadhiga iyo arrayga aqbalista. Bandhig qoraal ah oo liiska goobaha ma aha byte-yadaas.

Dhererka taggu wuxuu ka yimaadaa digest-ka, sidaas darteed male-awaalka dherer go'an wuxuu jabaa isla marka qof beddelo. Hash samee baakadda sida fulintu sameyso, ma aha sida shax ku qoran blog u soo bandhigo, oo is barbar dhig qabasho laga qaaday lammaanahaas halkii aad ka barbardhigi lahayd filasho gacan lagu soo saaray.

Ka fogee tababarkan borotokoolada wax-soo-saarka. Waxba ku jira dib-u-soo-saarka tag ma sheegayo in hirgelin ay tahay inay difaaca shido.

Dib u celi isku-beegnaan la'aan adigoon ka saarin difaaca

Tijaabada soo jiidashada leh waa inaad tirtirto tls-auth, aragto xiriirka oo guuleysta oo aad go'aansato in furahu khaldanaa. Jawaabtaas waxay ku kharash garaysaa difaaca waxna kama baraysa midka sadexda qiime ee aan isku beegnayn. Taa beddelkeeda ka soo qaado habaynta isku beeg ah ee la ansixiyay dhinaca server-ka oo is barbar dhig.

U diyaari isbeddelka si uu noqdo mid dib loo celin karo. Hayso habaynta server-ka iyo faylka furaha ee hore, codso lammaanaha la hagaajiyay, xaqiiji in macmiil dhammaystirayo is-gacan-qaadka, ka dibna kaliya ka saar kaydka. Haddii macaamiisha ay guuldarreystaan isbeddelka ka dib, soo celi faylasha hore halkii aad ka hindisin lahayd nooc sadexaad inta jahawareerku socdo. Soo-celintu waa inay ahaataa hal amar oo aad horey u taqaan inta aadan bilaabin.

Ugu dambeyntii, xusuuso waxa loola jeedo hubin la gudbay. Waxay caddaynaysaa in lammaanuhu haysto furaha la wadaago, ma aha in shahaadiisa ama akoonkiisa la oggolaaday, oo waxba kama sheegayo cipher-ka kanaalka xogta ee la wada hadlay. Oggolaanshaha iyo ilaalinta xogta ayaa la aasaasaa mar dambe, sidaas darteed hubin nadiif ah oo baallaha ah waa barta bilowga ma aha xukun.