Kile openssl dhparam -check huthibitisha na kile inachokosa

Kufaulu dhparam -check huhisi kama hukumu juu ya usanidi wa Diffie-Hellman wa VPN yako. Si hivyo. Amri hulinganisha faili moja ya vigezo na hesabu inayodai kuikidhi, na haisemi chochote kuhusu kama ukubwa wa kikundi unalingana na sera yako au kama handaki hupakia faili hiyo kabisa. Kuisona kama ukaguzi wa usalama ni dhana inayofaa kurekebishwa kwanza.

Faili ya vigezo huwa na namba tasa na kizalishaji. Uhalali ni sifa ya namba hizo, ilhali nguvu ni hukumu kuhusu mfano wako wa vitisho na wenzao, na vyote viwili haviwezi kubadilishana.

Kile ukaguzi wa uhalali unachothibitisha kwa kweli

Endesha ukaguzi kwenye faili uliyo nayo na usome jibu. openssl dhparam -in dh.pem -check -noout hufanya ukaguzi wa vigezo na huzuia matokeo yaliyosimbwa. Ujumbe kwamba vigezo vinaonekana vizuri unamaanisha thamani zinaoana kwa muundo; haumaanishi kwamba kikundi kifupi kinakubalika katika mazingira yako.

Uzalishaji bila -dsaparam hutoa namba tasa salama, ambapo (p-1)/2 pia ni tasa, ndiyo sababu huchukua muda mrefu hivyo. Njia ya mtindo wa DSA hujenga vigezo haraka zaidi na huvigeuza kuwa umbo la DH, na mwongozo wa OpenSSL huambatanisha mahitaji ya ziada ya funguo mpya na matumizi yao. Hakuna muundo kati ya hiyo miwili ulio siri ya kikao: faili ni nyenzo ya usanidi ya umma, si ufunguo wa faragha wa cheti na si siri inayoshirikiwa ya kituo cha udhibiti.

Soma ukubwa na kizalishaji kabla ya kuhukumu faili

Matokeo ya uhalali yana maana zaidi unapojua kilichothibitishwa. Chapisha vigezo kwa openssl dhparam -in dh.pem -text -noout, kisha andika urefu wa namba tasa na thamani ya kizalishaji.

Linganisha urefu huo na sera iliyoandikwa badala ya tabia. Ikiwa hitaji lako ni kikundi kilichotajwa kilichoidhinishwa kutoka stack ya kisasa ya TLS, faili iliyozalishwa kwa mkono inaweza kuwa kifaa kisichofaa kabisa. Andika namba zote mbili katika rekodi ya mabadiliko ili mkaguzi anayefuata asilazimike kuzipata upya.

Usigeuze ukaguzi kuwa uzalishaji upya

Hali ya kushindwa hapa ni amri inayoonekana kama ukaguzi na kutenda kama kizalishaji. Kuongeza urefu wa biti, kama katika openssl dhparam -check 2048, huomba vigezo vipya na faili ya pembejeo hupuuzwa. Chaguo la kizalishaji linaweza kufanya vivyo hivyo. Ikiwa ulitaka tu kuchunguza, toa -in na -check na hakuna kinachoeleza ukubwa.

Kuandika matokeo juu ya njia ya awali kunastahili shaka hiyo hiyo, kwa sababu mwongozo unaonya kwamba matokeo ya faili si atomiki. Kuanguka katikati ya uandishi huacha faili ya vigezo iliyokatwa na huduma isiyoanza.

Oanisha kikundi na itifaki, si na mwelekeo

Sera ya ukubwa ni uamuzi ambao chombo hakiwezi kusoma kwa niaba yako. Kikundi cha uwanja wenye kikomo cha biti 2048 ni sakafu ya kawaida na vikundi vikubwa hugharimu muda wa kupeana mikono, kwa hiyo chagua namba inayotajwa na msingi wako mwenyewe na uiandike. Vikundi vinavyotumika sana si dhaifu kwa sababu ni vya umma; kutojulikana hakuongezi chochote hapa.

Ambapo stack inaunga mkono vikundi vilivyotajwa vilivyoidhinishwa, fuata mpangilio huo ulioandikwa badala ya kuzalisha vigezo visivyo vya kawaida ili vionekane vya kipekee. Kikundi kilichotajwa ni kitu ambacho mwenza anaweza kukitambua na mkaguzi anaweza kukitafuta, ambacho kina thamani zaidi kuliko faili maalum ambayo hakuna anayeweza kuiainisha.

Thibitisha kwamba VPN inapakia faili hiyo

Faili sahihi ya vigezo ambayo hakuna mchakato unaoisoma haibadilishi chochote. Katika OpenVPN agizo la seva ni dh pamoja na njia, na usambazaji unaotegemea ECDH au ubadilishanaji wa funguo wa TLS 1.3 unaweza kuweka dh none badala yake. Kagua usanidi unaoendesha na si kiolezo, kisha thibitisha kwamba wateja na wenzao wanajadiliana muundo mmoja.

Funga mzunguko kwa ushahidi unaouhitaji kweli: kikundi kilichojadiliwa na handaki, urefu wa vigezo katika faili na mstari wa sera ambao urefu huo unaikidhi. Ukaguzi uliofaulu ni kipengele kimoja tu katika orodha hiyo. Kuuchukulia kama jibu zima ndiyo njia ambayo kikundi kifupi huokoka ukaguzi ambao ulipaswa kukikamata.