A është ai çelës OpenVPN i publikuar një CA, një çelës kolegu apo tls-auth?

Dikush raporton se çelësi VPN është publik, dhe ajo fjali fsheh tre situata krejt të ndryshme. Mund të jetë një certifikatë CA që çdo klient duhet ta ketë, një çelës privat identiteti që nuk duhej të kishte dalë kurrë nga një makinë, ose një sekret i përbashkët i kanalit të kontrollit që të dy skajet duhet ta mbajnë. Riparimi, urgjenca dhe përmasa e dëmit ndryshojnë në çdo rast, prandaj detyra e parë është klasifikimi, jo veprimi. Nëse gaboni kategorinë, çdo hap pasues është punë e humbur.

Filloni nga direktiva, jo nga emri i skedarit

Lexoni konfigurimin aktiv dhe gjeni cila direktivë tregon materialin në fjalë. Opsionet TLS të OpenVPN përdorin ca për material certifikate të besuar, cert për certifikatën e kolegut lokal dhe key për çelësin privat që i përket.

Emrat e skedarëve nuk provojnë asgjë. Një skedar i quajtur key.pem mund të përmbajë një certifikatë, dhe një bllok i integruar në profil mund të përmbajë saktësisht të njëjtin objekt si një skedar i veçantë në disk. Hapni skedarin dhe shikoni kokën e tij në vend që t'i besoni emrit. Ky kontroll i vetëm heq pjesën më të madhe të paqartësisë në raport.

Nëse profili është një paketë PKCS#12, shpaketojeni në një vend të kontrolluar për të parë çfarë përmban në të vërtetë. Një paketë e vetme mund të mbajë një certifikatë, zinxhirin e saj dhe një çelës privat, që do të thotë se rrjedhja e paketës është rrjedhje e të treve.

Shkruani klasifikimin përpara se dikush të ndryshojë një skedar: objekt, direktivë, cilët kolegë e mbajnë dhe kush mund ta lexojë. Nga ajo fjali varet pjesa tjetër e përgjigjes.

Një certifikatë CA është ndërtuar për t'u ndarë

Një certifikatë CA publike është material besimi. Klientët e kanë të nevojshme për të verifikuar serverin, dhe shpërndarja e saj është rasti normal dhe jo incident. Publikimi i saj nuk publikon çelësin privat të nënshkrimit të CA-së, dhe pikërisht ai objekt do t'i mundësonte një sulmuesi të krijojë identitete të reja.

Vlen ta shkruani këtë dallim shprehimisht në tiketë, sepse të dyja ngatërrohen vazhdimisht. Pyetja që duhet përgjigjur është nëse skedari i rrjedhur është certifikata apo çelësi i nënshkrimit, dhe një vështrim i shpejtë në përmbajtjen e skedarit e zgjidh atë. Certifikata mban një çelës publik dhe një nënshkrim; çelësi i nënshkrimit nuk shfaqet fare në të.

Shpërndarja megjithatë meriton kujdes. Klientët duhet ta marrin certifikatën përmes rrugës së miratuar të dorëzimit të profileve, jo nga një sajt ngjitjeje, dhe një certifikatë që vjen përmes një rruge jo të besueshme mund të zëvendësohet gjatë rrugës.

Një çelës kolegu dhe një sekret tls-auth nuk janë

Çelësi privat i një kolegu është material identiteti. Pasi kopjohet, serveri nuk mund ta dallojë më pajisjen e synuar nga kushdo që mban kopjen, sepse zotërimi ekskluziv ishte vetia që po demonstrohej. Vazhdimi i autorizimit dhe zëvendësimi janë vendime të pronarit të VPN-së, jo të atij që gjeti skedarin.

Sekreti tls-auth është gjëja e tretë. Ai shton vërtetimin HMAC rreth paketave të kanalit të kontrollit, kështu që ato që vërtetohen gabimisht hidhen poshtë përpara një shkëmbimi TLS, dhe nuk është as çelësi privat i kolegut as çelësi që kripton të dhënat e aplikacionit.

Nëse ai sekret i përbashkët është publik, barriera që ofronte ka humbur për të gjithë ata që e kanë. Nuk rrjedh nga kjo që çdo mbajtës kalon kontrollet e certifikatës dhe të përdoruesit pas saj, dhe për këtë arsye klasifikimi ka më shumë rëndësi se niveli i alarmit. Thoni cila barrierë ra dhe thoni cilat mbeten.

Riparoni rolin që rrodhi, jo një fqinj

Një sekret i përbashkët nuk mund të bëhet përsëri privat duke riemërtuar skedarin ose duke fshehur lidhjen e shkarkimit. Zëvendësimi do të thotë të krijosh një vlerë të re dhe ta shpërndash te çdo koleg në një ndryshim të koordinuar, dhe zëvendësimi i vetëm njërës anë prish marrëveshjen për të gjithë ata që kanë ende vlerën e vjetër.

Nëse identiteti i një kolegu u ekspozua, përdorni procesin e revokimit dhe të riregjistrimit të operatorit për atë identitet. Ndryshimi i fjalëkalimit të një llogarie të palidhur nuk e anulon një certifikatë të kopjuar, dhe as zëvendësimi i skedarit tls-auth.

Konfirmoni se çfarë zbaton në të vërtetë serveri i vendosur përpara se të mbështeteni në ndonjë prej këtyre. Një listë revokimi që nuk rifreskohet, ose një kontroll roli që u çaktivizua gjatë një ndërprerjeje, e ndryshojnë përgjigjen plotësisht. Lexoni konfigurimin në punë dhe jo kopjen në depo.

Gjykoni trafikun e kaluar sipas kushteve të tij

Një skedar i ekspozuar nuk tregon vetë nëse sesionet e kapura më parë mund të dekriptohen. Kjo varet nga metoda e vendosjes së çelësave, materiali i ekspozuar dhe çfarë regjistrash ekzistojnë, dhe si «i gjithë trafiku u humb» ashtu edhe «nuk ndodhi asgjë» janë hamendësime pa këto fakte.

Mos publikoni një kopje tjetër të kredencialeve ndërsa pyesni se cilës kategori i përket. Në vend të kësaj ndani emrat e direktivave dhe metadata jo-sekrete përmes rrugës së miratuar të mbështetjes.

Përfundimi i dobishëm emërton objektin, rolin e tij, mbrojtjen e humbur dhe veprimin e koordinuar të nevojshëm. Çdo gjë më e shkurtër është titull dhe jo vlerësim.