Sababta baakidhka VPN ee sir la geliyey uu ka qiimo yaraan karo inta aad ka fikirtay

Laba borofayl ayaa lagu cabbiraa isla gateway, mid sireed leh iyo mid aan lahayn, kan sireed ma aha mid gaabis ah. Mararka qaarkood wuu ka dheereeya, taas oo badanaa keenta dood dheer oo ku saabsan in imtixaanku si sax ah loo sameeyay. Natiijadu waa mid macquul ah, sababtoo ah qiimaha baakidhku ma aha tirada erayada kriptografiyada ee ku jira habaynta. Waa isku-dhafka hawlgallada uu fuliyaha sameeyo, qalabka uu haysto, iyo habaynta buferka uu doortay.

Calaamadda: kan gaabis ah ma aha borofaylka sireed

Ka soo qaad in imtixaan hore uu isbarbar dhigo sifer AEAD iyo hab „aan sireed lahayn“ oo wali xisaabiya koodhka xaqiijinta gaar ah baakidh kasta. Borofaylka labaad wuxuu qariyaa waxa ku jira xamuulka laakiin wuxuu hayaa hash baakidh kasta, iyo processor aan lahayn xawaareyn lagu sameeyo hashkaas wuu ka qiimo badnaan karaa dhismaha isku dhafan ee uu ku qasbanaa inuu ka guuleysto.

Summadda ku jirta habaynta waxay leedahay „sireed“, iyo summaddu waa waxa ay badan yihiin isbarbardhigyadu fiiriyaan. Jidka baakidhku wax kale ayuu sheegayaa: hal borofayl wuxuu sameeyaa hawlgaslagu dhaxlay oo CPU u leeyahay tilmaamo, kan kalena mid gaar ah oo aanu u lahayn. Keliya akhrinta faylka habaynta marnaba ma muujinayso faraqaas, sababtoo ah labada gelinba waxay u eg yihiin hal saf. Keliya habka la wada hadlay iyo jidka koodhka ee ka dambeeya ayaa sharaxa natiijada.

Taasi waa sharaxaad dhan, mana u baahna sheegasho ah in waxa aasaasiga ah mid si caalami ah u dheereeya. Labaduba way dheereyn karaan, labaduba way gaabis noqon karaan, iyo nidaamku wuxuu ku xiran yahay mishiinka iyo koodhka.

Tiri hawlgallada, ma aha summadaha

Dhismaha AEAD, sida RFC 5116 uu qeexayo, wuxuu fuliyaha siinayaa hal interface oo soo celisa qoraalka sireed iyo tagga wadajir. AES-GCM waa hal tusaale: sireedka habka tirinta oo lagu daray xaqiijiyaha Galois. Interface-ku ma sameeyo daacadnimada mid bilaash ah; wuxuu isku-dhafka ka dhigaa mid si fiican loo qeexay, taasna waxay u ogolaataa fuliyaha inuu labada qaybood wadajir u hagaajiyo.

Separate authentication path:
  payload -> independent HMAC -> framed packet

AEAD path:
  payload -> authenticated encryption with tag -> framed packet

Kuwani waa sawirro habaynta, ma aha talooyin habayn. Kan koowaad ma leh qarsoodi laakiin wali CPU ku bixiyaa xaqiijin, taasina waa sababta „dami sireedka“ aysan u ahayn isku mid „dami shaqada kriptografiyada“.

Kan labaad wuu ka jaban karaa sababtoo ah processor-yadu waxay tilmaamo u leeyihiin labada qaybood: wareegyada AES iyo isku-dhufashada aan qaadasho lahayn ee goobta Galois isticmaasho. Maktabadaha sidoo kale waxay si barbar socda u habeeyaan buferro madax-bannaan, taas oo tilmaamahaas mashquul ku hayso halkii ay sugayaan xusuusta.

Waxa habka la wada hadlay runtii suurtogeliya

Community OpenVPN, sifer xogta AEAD macnaheedu waa ikhtiyaarka auth mar dambe ma bijaayo HMAC gaar ah oo kanaalka xogta ah. Tixraaca ikhtiyaarka sireedka wuxuu qeexayaa baaxaddaas, taasina waa sababta laba habayn oo isku mid u eg fayl qoraal ah ay ugu kala duwanaan karaan shaqada baakidh kasta.

Akhri habka la wada hadlay, ma aha liiska damaca. Liiska siferrada la ogolyahay iyo magaca TLS suite ma kuu sheegaan hawlgallada xamuulka lagu sameeyo, iyo sadka cipher ee duugoobay waxaa laga yaabaa inuusan qeexin waxa xiriirka hadda jiraa doortay.

openvpn --show-ciphers | head -20
sudo grep -E 'cipher|auth' /etc/openvpn/server.conf

Amarka koowaad wuxuu liisgarayaa siferrada ay taageerto binary-ga, taas oo ah liis awood ah oo aan ahayn natiijada la wada hadlay. Kan labaad wuxuu muujinayaa waxa server-ku runtii codsado. Diiwaanka xiriirka waa goobta lagu xaqiijiyo doorashada ugu dambeysa, sababtoo ah macmiilku wuu ku dhici karaa wax server-ku ogolyahay laakiin aan cidina u dan lahayn.

Cabbir culeyska aad runtii waddo

Cabbir yar oo kriptografiyo ah wuxuu cabbiraa aasaasiga isagoo ku jira duruufihiisa. Gudbinta VPN sidoo kale waxay koobiyeysaa buferro, jadwalka dunta ama carqaladaha, hubiyaa siyaasadda oo dhex maraa shabakadda. Qaybahaas badanaa way ka sarreeyaan, taasina waa sababta aasaasiga dheereeya uusan had iyo jeer dhalin tunnel dheereeya.

openssl speed -evp aes-256-gcm
openssl speed -evp sha1

Labada amar waxay ku siinayaan isbarbardhig maxalli ah oo qiyaas ah oo aasaasiga ah mishiinka hortaada yaal, waxayna daacad ka yihiin inay yihiin cabbir yar. Waxba kama sheegaan tirada xamuulka tunnelkaaga, marnabana waa in loo soo qaataa sidaas.

Kadib cabbir culeyska muhiimka ah, adigoo dhammaan waxyaabaha kale joogto ka dhigaaya: isla barta ugu dambeysa, isla cabbirrada baakidhka, isla gaadiidka, isla siyaasadda isku-buufinta. Haddii isbeddelka borofaylka uu beddelay gaadiidka ama goobta habaynta, natiijadu waxay qeexaysaa xirmadaas, ma aha kriptografiyada.

Hadafka sidoo kale indhaha ku hay. Jid xog ah oo leh awood kriptografiyo dheeraad ah wali waxaa laga yaabaa inuu ku xiran yahay daahitaanka sababtoo ah barnaamijku wuxuu sugayaa safarro tag iyo imow, iyo fa’iidada awoodda ballaaran ma hagaajiso borotokool badan oo hadla. Cabbir habaynta la taageeray oo siyaasaddu ansixisay guud ahaan, oo u qaado „sanduuqyo yar waa inay dheereeyaan“ sida mala-awaalka uu yahay. Su’aasha fa’iidada leh ma aha in sireedku wax ku bixiyo, laakiin in qiimahaas uu ka muuqdo cabbirka aad runtii danaynayso.