Kee ka mid ah baakadaha OpenVPN ay ilaaliso digest-ka auth?
Ikhtiyaarka auth wuxuu daboolaa wax ka yar inta borofaylku tilmaamayo. Baadh kanaalka, kiiska AEAD iyo ilaalinta kanaalka kontoroolka ka hor inta aadan dejin siyaasadda digest.
Inta badan doodaha ku saabsan digest-yada OpenVPN waxay ka bilaabmaan baakadda khaldan. In la akhriyo auth SHA256 sida «aqbal kaliya lammaanaha bixiya SHA256» waa waxa ugu horreeya ee la ilaawi karo. Ikhtiyaarku wuxuu u magacaabaa digest baakado gaar ah, oo baakadahaas kee baa ku xiran kanaalka iyo haddii kanaalkaas uu yahay AEAD. Ka shaqee afarta su'aalood ee hoose si kala horreysan; mid kastaa wuxuu cidhiidhiyaa waxa ay dejinta macne kartaa fulintaada.
Magacaab kanaalka ay dejintu tahay inay ilaaliso
OpenVPN wuxuu leeyahay kanaal kontorool oo qaada taraafikada gacan-qabsiga TLS iyo kanaal xogta oo qaada culayska tunnel-ka. Digest-ka auth wuxuu door ku leeyahay labadaba, laakiin ma aha isla door, oo borofaylku marar dhif ah ayuu farqiimaha ka dhigaa mid muuqda. Qor labadaas kee ayaad isku dayaysaa inaad xaddido ka hor inta aadan taaban faylka habaynta.
Shaxda hoose waa nooca gaaban ee sida isla ikhtiyaarkaas uu ugu soo dhaco xaalad kasta.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Ka hor inta aadan ku tiirsanaan, hubi haddii kanaalka xogtu yahay AEAD
Haddii sirta xogta la wadaagay ay tahay AES-GCM ama CHACHA20-POLY1305, kanaalka xogtu isku xaqiijiyaa oo digest-ka gooni ah ma qabanayo shaqada aad malayn karto. Labaduba waa dhismayaal AEAD, sidaas darteed daacadnimada waxaa soo saara isla hawsha sirteeya culayska. Tani ma aha hoos u dhac, laakiin waxay ka dhigan tahay in siyaasad lagu caddeeyay «baakad kasta oo xog ah waa HMAC-SHA256» ay dhab ahaan khalad ku tahay tunnel-kaas. Ka hor inta aadan dib u qorin siyaasadda, xaqiiji qiimaha la wadaagay diiwaanka server-ka ama soo-saarka xaaladda macmiilka.
Baadh sirta dhab ahaan la wadaagay halkii liiska borofaylka, maxaa yeelay wada-xaajoodku wuxuu ku dhici karaa xubin kale oo ka mid ah ururka. data-ciphers AES-256-GCM:AES-128-GCM waa liis wada-xaajood, oo labada gelitaanba waa AEAD, sidaas darteed midkoodna ma isticmaalo digest-ka auth ilaalinta culayska.
U qaado ilaalinta kanaalka kontoroolka go'aan gaar ah
tls-auth wuxuu ku daro HMAC baakadaha kanaalka kontoroolka oo digest-kiisa ka qaataa dejinta auth, taas darteed tunnel AEAD weli wuxuu yeelan karaa digest macne leh oo la habeeyay. tls-crypt waa habayn kale oo leh ilaalin go'an oo u gaar ah, sidaas darteed ha u malayn inuu dhaxlo qayb kasta oo ka mid ah tls-auth. Akhri dukumeentiga habka aad dooratay halkii aad mala-awaalada ka gudbin lahayd.
Labada lammaane waa inay sidoo kale ku heshiiyaan habaynta iyo jihada furaha. Digest ku habboon laakiin fayl fure oo loo isticmaalay jihada khaldan wuxuu soo saaraa gacan-qabsi ku guuldareysta sababo ay dejinta digest sharraxmi karin.
Ka sooc auth wada-xaajoodka sirta iyo shahaadooyinka
Saddex dejin ayaa si joogto ah loo qaldo: digest-ka auth, liiska sirta xogta iyo algorithm-ka saxeexa shahaadada. Beddelka kan ugu horreeya ma soo saaro shahaado cusub, ma dooro digest-ka saxeexeeda, mana abuuro habka isticmaale-furaha sirta. Qeexitaannada ikhtiyaarrada borotokoolka ee ilaha OpenVPN 2.6 waxay mid kasta ku sharraxaan qaybteeda, taas oo xusuusin faa'iido leh ah inay yihiin badhannaan madax-bannaan.
Marka lammaanuhu diido inuu xirmo ka dib isbeddelka digest, sababtu badanaa waa is-khilaaf ku jira mid ka mid ah labada dejin ee kale. Akhri labada daraf ka hor inta aadan beddelin midkood.
Qor siyaasadda oo la barbardhig habaynta socota
Bayaanka heerka kooxdu waa inuu isla jumlad ku caddeeyo hababka kanaalka xogta ee la ogolaaday iyo ilaalinta kanaalka kontoroolka ee la doortay. Jumladaas waa la tijaabin karaa; «waxaan isticmaalnaa SHA256» maaha. Kadib la barbardhig borofaylada server-ka iyo macmiilka ee dhabta ah halkii aad la barbardhigi lahayd qaab-dhismeed ku jira kaydka.
Ku dhammee inaad diiwaangeliso waxa tunnel kastu dhab ahaan wada xaajooday iyo habka xaqiijiyay baakadihiisa. Sadarka auth ee borofaylka ka muuqda waa kaliya caddaynta ujeeddada habaynta, ujeeddaduna waa qaybta ugu jaban ee hubinta.