Да ли је тај објављени OpenVPN кључ CA, кључ партнера или tls-auth?

Неко пријави да је VPN кључ јаван, а та реченица крије три потпуно различите ситуације. То може бити CA сертификат који би требало да има сваки клијент, приватни идентитетски кључ који никада није смео да напусти једну машину, или заједничка тајна контролног канала коју морају да чувају обе стране. Поправка, хитност и обим штете разликују се у сваком случају, зато је први задатак класификација, а не дејство. Ако погрешите категорију, сваки следећи корак је узалудан труд.

Почните од директиве, не од назива датотеке

Прочитајте активну конфигурацију и пронађите која директива указује на предметни материјал. TLS опције OpenVPN-а користе ca за поуздан сертификатни материјал, cert за сертификат локалног партнера и key за приватни кључ који му припада.

Називи датотека ништа не доказују. Датотека названа key.pem може да садржи сертификат, а уграђени блок у профилу може да садржи исти такав објекат као засебна датотека на диску. Отворите датотеку и погледајте њено заглавље уместо да верујете називу. Та једна провера уклања већину нејасноћа у извештају.

Ако је профил PKCS#12 пакет, распакујте га на контролисаном месту да видите шта заиста садржи. Један пакет може да носи сертификат, његов ланац и приватни кључ, што значи да је цурење пакета цурење сва три.

Запишите класификацију пре него што било ко промени датотеку: објекат, директива, који партнери га држе и ко може да га чита. Од те реченице зависи остатак одговора.

CA сертификат је намењен дељењу

Јавни CA сертификат је материјал поверења. Клијентима је потребан за проверу сервера, а његова дистрибуција је уобичајен случај, не инцидент. Његово објављивање не објављује приватни кључ за потписивање CA-а, а управо би тај објекат нападачу омогућио стварање нових идентитета.

Ову разлику вреди изричито навести у тикету, јер се две ствари стално мешају. Питање на које треба одговорити јесте да ли је датотека која је исцурела сертификат или кључ за потписивање, а брз поглед у садржај датотеке то решава. Сертификат носи јавни кључ и потпис; кључ за потписивање се у њему уопште не појављује.

Дистрибуција ипак заслужује пажњу. Клијенти би требало да добију сертификат одобреним путем за доставу профила, а не са сајта за лепљење, а сертификат који стигне непоузданим путем може бити замењен на путу.

Кључ партнера и тајна tls-auth нису

Приватни кључ партнера је идентитетски материјал. Након копирања, сервер више не може да разликује предвиђени уређај од било кога ко држи копију, јер је искључиво поседовање било својство које се доказивало. Наставак ауторизације и замена су одлуке власника VPN-а, а не онога ко је пронашао датотеку.

Тајна tls-auth је трећа ствар. Додаје HMAC аутентификацију око пакета контролног канала тако да се погрешно аутентификовани пакети одбацују пре TLS размене, и није ни приватни кључ партнера ни кључ који шифрује податке апликације.

Ако је та заједничка тајна јавна, баријера коју је пружала нестала је за све који је имају. Из тога не следи да сваки ималац пролази провере сертификата и корисника иза ње, зато је класификација важнија од нивоа узбуне. Реците која баријера је пала и реците које су остале.

Поправите улогу која је исцурела, а не суседну

Заједничка тајна не може поново да постане приватна преименовањем датотеке или скривањем везе за преузимање. Замена значи стварање нове вредности и њену дистрибуцију сваком партнеру у координисаној промени, а замена само једне стране квари договор свима који још држе стару вредност.

Ако је идентитет партнера био изложен, користите оператеров поступак опозива и поновне регистрације за тај идентитет. Промена лозинке неповезаног налога не поништава копирани сертификат, а ни замена датотеке tls-auth.

Потврдите шта распоређени сервер заиста спроводи пре него што се ослоните на било шта од овога. Листа опозива која се не освежава, или провера улоге која је била искључена током прекида, потпуно мењају одговор. Читајте конфигурацију која ради, а не копију у складишту.

Процените прошли саобраћај по његовим сопственим условима

Изложена датотека сама по себи не каже да ли раније ухваћене сесије могу да се дешифрују. То зависи од методе успостављања кључева, изложеног материјала и тога који записи постоје, а и „сав саобраћај је изгубљен“ и „ништа се није догодило“ су претпоставке без тих чињеница.

Не објављујте још једну копију акредитива док питате којој категорији припада. Уместо тога поделите називе директива и не-тајне метаподатке одобреним путем подршке.

Користан закључак именује објекат, његову улогу, изгубљену заштиту и потребно координисано дејство. Све краће од тога је наслов, а не процена.