Dështim i verifikimit HMAC të paketave OpenVPN: cila shtresë?

Dy dështime raportohen me të njëjtin fjalor dhe nuk kanë pothuajse asgjë të përbashkët. Njëri është një paketë, etiketa e verifikimit të së cilës nuk u vërtetua; tjetri është një person, kredencialet e të cilit u refuzuan. Ta trajtosh të parën si të dytën të nis në kërkim të një fjalëkalimi që nuk ishte kurrë problemi.

Mesazhi emërton një shtresë dhe puna e dobishme është të vendosësh cilën shtresë përpara se të zëvendësosh çdo material. Krahasimi i kandidatëve krah për krah është mënyra më e shpejtë për të parë ndryshimin.

Dy dështime që ndajnë një fjalë

Një gabim verifikimi i paketës shfaqet gjatë përpunimit të trafikut: një etiketë ose përmbledhje në një paketë të marrë nuk përputhej me atë që llogariti marrësi. Refuzimi i llogarisë ndodh pasi është analizuar një shkëmbim identifikimi dhe emërton një përdorues, jo një paketë. Një mesazh i tretë, për pamundësinë e gjetjes së një HMAC në një paketë hyrëse, është përsëri ndryshe, sepse atje paketa mbërriti pa elementin e pritur të verifikimit. Parashtesa e plotë e regjistrit ju tregon cilin nga të tre keni, dhe parashtesa zakonisht është gjëja e parë që hiqet kur një gabim ngjitet në një kërkesë.

Dallimi ndryshon rregullimin. Njëri kërkon cilësime kanali të përputhura, tjetri gjendjen e llogarisë, dhe i treti një profil që nuk përputhet me dëgjuesin ku mbërriti.

Krahasoni çfarë ngarkoi në të vërtetë procesi që po ekzekutohet

Një skedar i saktë në disk nuk provon asgjë për një proces që nisi përpara se ai të redaktohej. Kontrolloni profilin e zgjedhur, pikën fundore me të cilën u lidh, dhe nëse shërbimi është ringarkuar që nga ndryshimi. Konfirmoni gjithashtu se pika fundore i përket profilit, pasi një instancë ose shërbim tjetër mund të dëgjojë atje ku skedari i vjetër pret diçka tjetër.

Ri-eksportimi i një profili të mbështetur nga i njëjti burim është një krahasim i lirë, sepse heq devijimin midis asaj që mendoni se është konfiguruar dhe asaj që klienti dërgon në të vërtetë. Gjenerimi i materialit të ri të çelësave është një hap shumë më i madh dhe ndihmon vetëm nëse të dy skajet e adoptojnë bashkë. Zëvendësimi i njërës anë në nivel lokal rikrijon mospërputhjen që po përpiqeshit të hiqnit.

Krahasoni kanalin e kontrollit me kanalin e të dhënave

Dy mekanizma verifikojnë pjesë të ndryshme të një lidhjeje dhe konfigurohen veçmas, siç përshkruan referenca e opsioneve 2.6. tls-auth shton një HMAC në paketat e kanalit të kontrollit dhe merr një argument drejtimi që duhet të jetë i kundërt në dy palët, ndërsa tls-crypt e mbron kanalin e kontrollit me një çelës të përbashkët. Asnjëri nuk është kontrolli i integritetit të kanalit të të dhënave. Me një shifër të dhënash AEAD ai kontroll është i ndërtuar brenda shifrës, kështu që përmbledhja e veçantë auth nuk përdoret si me një shifër jo-AEAD.

Kjo do të thotë që një rresht auth i kopjuar nga një vendosje funksionale jo-AEAD mund të jetë i parëndësishëm në një AEAD, dhe një vendosje AEAD mund të dështojë ende në kanalin e kontrollit nëse çelësi tls-auth ose drejtimi i tij është i gabuar. Krahasoni çdo cilësim me palën tjetër, jo me një konfigurim të kujtuar.

Krahasoni rregullimin me vetinë që hiqni dorë

Çaktivizimi i verifikimit të paketave e hesht paralajmërimin dhe heq kontrollin që gjeti mospërputhjen, gjë që nuk është njësoj si rregullimi i profilit. Pyetni cilës veti po i heqni dorë dhe nëse modeli qëndron ende pa të.

Lexoni ngjarjen e parë përkatëse në të dy skajet përpara se të ndryshoni diçka, pastaj ndryshoni vetëm mospërputhjen që emërton.

Nëse përpjekja tjetër përparon në një gabim certifikate ose identifikimi, ky është përparim dhe jo regres: shtresa e paketave tani pajtohet dhe lidhja ka shkuar përpara. Regjistroni cilësimet që prodhuan ndryshimin, që personi tjetër të trashëgojë një shpjegim në vend të një misteri.