Je, ufunguo huo wa OpenVPN uliochapishwa ni CA, ufunguo wa mwenzake au tls-auth?

Mtu fulani anaripoti kwamba ufunguo wa VPN ni wa umma, na sentensi hiyo inaficha hali tatu tofauti kabisa. Inaweza kuwa cheti cha CA ambacho kila mteja anapaswa kuwa nacho, ufunguo wa faragha wa utambulisho ambao haukupaswa kuondoka kwenye mashine moja, au siri ya pamoja ya kituo cha udhibiti ambayo pande zote mbili lazima ziwe nayo. Ukarabati, haraka na ukubwa wa madhara hutofautiana katika kila kisa, kwa hiyo kazi ya kwanza ni uainishaji, si hatua. Ukikosea kundi, kila hatua inayofuata ni kazi bure.

Anza na maagizo, si jina la faili

Soma usanidi unaotumika na utambue agizo lipi linaelekeza kwenye nyenzo husika. Chaguo za TLS za OpenVPN hutumia ca kwa nyenzo za cheti zinazoaminika, cert kwa cheti cha mwenzake wa ndani na key kwa ufunguo wa faragha unaohusiana.

Majina ya faili hayathibitishi chochote. Faili inayoitwa key.pem inaweza kuwa na cheti, na kizuizi kilichopachikwa kwenye wasifu kinaweza kuwa na kitu kile kile kama faili tofauti kwenye diski. Fungua faili na uangalie kichwa chake badala ya kuamini jina. Ukaguzi huo mmoja unaondoa sehemu kubwa ya utata katika ripoti.

Ikiwa wasifu ni kifurushi cha PKCS#12, kifungue mahali panapodhibitiwa ili kuona kilicho ndani yake kweli. Kifurushi kimoja kinaweza kubeba cheti, mnyororo wake na ufunguo wa faragha, kumaanisha uvujaji wa kifurushi ni uvujaji wa vyote vitatu.

Andika uainishaji kabla ya mtu yeyote kubadilisha faili: kitu, agizo, wenzake gani wanaishikilia na nani anaweza kuisoma. Sentensi hiyo ndiyo jibu lote linategemea.

Cheti cha CA kimeundwa ili kishirikiwe

Cheti cha CA cha umma ni nyenzo ya uaminifu. Wateja wanakihitaji kuthibitisha seva, na kukisambaza ni hali ya kawaida na si tukio. Kukichapisha hakuchapishi ufunguo wa faragha wa kusaini wa CA, na kitu hicho ndicho kingemruhusu mshambuliaji kuunda utambulisho mpya.

Tofauti hiyo inafaa kuandikwa wazi kwenye tiketi, kwa sababu mbili hizo huchanganywa kila mara. Swali la kujibiwa ni kama faili iliyovuja ni cheti au ufunguo wa kusaini, na mtazamo wa haraka wa yaliyomo kwenye faili huamua hilo. Cheti hubeba ufunguo wa umma na sahihi; ufunguo wa kusaini hauonekani ndani yake hata kidogo.

Usambazaji bado unahitaji uangalifu. Wateja wanapaswa kupata cheti kupitia njia iliyoidhinishwa ya uwasilishaji wa wasifu, si kutoka tovuti ya kubandika, na cheti kinachofika kwa njia isiyoaminika kinaweza kubadilishwa njiani.

Ufunguo wa mwenzake na siri ya tls-auth si kitu kimoja

Ufunguo wa faragha wa mwenzake ni nyenzo ya utambulisho. Ukishanakiliwa, seva haiwezi tena kutofautisha kifaa kilichokusudiwa na mtu yeyote aliye na nakala, kwa sababu umiliki wa kipekee ndiyo sifa iliyokuwa ikidhihirishwa. Kuendelea kuidhinisha na kubadilisha ni maamuzi ya mmiliki wa VPN, si ya yule aliyepata faili.

Siri ya tls-auth ni kitu cha tatu. Inaongeza uthibitishaji wa HMAC kuzunguka pakiti za kituo cha udhibiti ili zile zisizothibitishwa ipasavyo zitupwe kabla ya mabadilishano ya TLS, na si ufunguo wa faragha wa mwenzake wala ufunguo unaosimba data ya programu.

Ikiwa siri hiyo ya pamoja ni ya umma, kizuizi ilichotoa kimepotea kwa kila mwenye nayo. Haifuati kwamba kila mmiliki hupita ukaguzi wa cheti na mtumiaji ulio nyuma yake, ndiyo sababu uainishaji ni muhimu zaidi kuliko kiwango cha tahadhari. Sema kizuizi kipi kilianguka, na sema vipi vimebaki.

Rekebisha jukumu lililovuja, si la jirani

Siri ya pamoja haiwezi kufanywa ya faragha tena kwa kubadilisha jina la faili au kuficha kiungo cha kupakua. Kubadilisha kunamaanisha kuzalisha thamani mpya na kuisambaza kwa kila mwenzake katika mabadiliko yaliyoratibiwa, na kubadilisha upande mmoja tu huvunja makubaliano kwa wote wanaoshikilia thamani ya zamani.

Ikiwa utambulisho wa mwenzake ulifichuliwa, tumia mchakato wa kufuta na kusajili upya wa mwendeshaji kwa utambulisho huo. Kubadilisha neno la siri la akaunti isiyohusiana hakubatilishi cheti kilichonakiliwa, na kubadilisha faili ya tls-auth pia hakubatilishi.

Thibitisha kile seva iliyowekwa inatekeleza kweli kabla ya kutegemea chochote kati ya hivi. Orodha ya kufuta isiyosasishwa, au ukaguzi wa jukumu uliozimwa wakati wa hitilafu, hubadilisha jibu kabisa. Soma usanidi unaoendesha, si nakala ya hazina.

Hukumu trafiki ya zamani kwa masharti yake yenyewe

Faili iliyofichuliwa yenyewe haisemi kama vikao vilivyokamatwa awali vinaweza kufumbuliwa. Hilo hutegemea mbinu ya kuweka ufunguo, nyenzo zilizofichuliwa na kumbukumbu zipi zipo, na wote wawili ‘trafiki yote imepotea’ na ‘hakuna kilichotokea’ ni makisio bila ukweli huo.

Usichapishe nakala nyingine ya kitambulisho wakati unauliza ni kundi gani. Badala yake shiriki majina ya maagizo na metadata isiyo siri kupitia njia iliyoidhinishwa ya msaada.

Hitimisho lenye manufaa hutaja kitu, jukumu lake, ulinzi uliopotea na hatua iliyoratibiwa inayohitajika. Kitu chochote kifupi kuliko hicho ni kichwa habari, si tathmini.