Kumbukumbu ya OpenVPN: siri ya chaneli ya udhibiti dhidi ya siri ya chaneli ya data

Mstari wa kumbukumbu unaotaja DHE-RSA-AES256-SHA si muhtasari wa muunganisho wote. Ni sehemu ya kupeana mikono ya TLS inayolinda chaneli ya udhibiti, na trafiki ndani ya handaki inaweza kusimbwa kwa kitu kingine kabisa. Kuiripoti kama siri ya data ya VPN ndilo kosa la kuepukwa.

Matokeo mawili ni muhimu, na hujibu maswali tofauti. Moja ni seti ya TLS iliyojadiliwa kwa chaneli ya udhibiti; lingine ni siri ya data ya pakiti zinazobebwa na handaki.

Matokeo mawili, maswali mawili

Chaneli ya udhibiti hubeba kupeana mikono na jumbe za usimamizi kati ya wenzake. Siri yake huchaguliwa na mrundikano wa TLS, kwa hiyo jina hufuata taratibu za TLS. Chaneli ya data hubeba trafiki ya watumiaji na husanidiwa na majadiliano ya siri ya OpenVPN yenyewe.

Amua ni swali gani unalojibu kabla ya kusoma mstari wowote. Ikiwa handaki imesimbwa na ikiwa kupeana mikono ni imara si swali moja.

Kipande cha kumbukumbu kinachoonyesha mistari yote miwili ndicho chenye manufaa. Soma mstari wa udhibiti kwa toleo na seti ya TLS, na mstari wa data kwa algoriti inayolinda mzigo kwa kweli.

Fasili jina la seti ya TLS katika mazingira yake

Katika jina la kihistoria la mtindo wa OpenSSL kama DHE-RSA-AES256-SHA, kila sehemu inaeleza uamuzi tofauti. DHE ni makubaliano ya ufunguo wa Diffie-Hellman wa muda, RSA ni njia ya uthibitishaji, AES256 ni AES-256 katika hali ya CBC kwa rekodi za TLS, na SHA ni MAC ya rekodi inayotegemea SHA-1.

Sehemu ya mwisho si alama ya kidole ya cheti, na kuisoma hivyo ni kosa la kawaida. Jina pia haliambii toleo la itifaki peke yake, kwa sababu TLS 1.3 hutumia mpango tofauti kabisa wa uundaji majina. TLS_AES_256_GCM_SHA384 hufuata umbo hilo jipya, ambapo heshi ya mwisho ni sehemu ya ujenzi wa seti na si uchaguzi wa MAC. Tumia usomaji wa sehemu kwa mtindo wa zamani wa uundaji majina pekee.

Marejeo ya seti za OpenSSL huunganisha majina haya na fasili zake ikiwa sehemu fulani haijulikani.

Soma matokeo ya chaneli ya data kwa trafiki inayobebwa

Kwa trafiki inayobebwa, soma mstari wa chaneli ya data kutoka kikao hicho hicho. Katika usanidi, data-ciphers orodha ni seti inayoruhusiwa, si ushahidi kwamba algoriti fulani imejadiliwa. Kumbukumbu hurekodi chaguo; usanidi hurekodi orodha ya chaguo.

Siri ya AEAD kama AES-GCM hubeba ukaguzi wake wa uadilifu, kwa hiyo HMAC tofauti ya chaneli ya data si sehemu ya njia hiyo.

auth agizo haliinui TLS, vyeti au siri ya data. Huchagua digest kwa sehemu za itifaki ambazo bado zinatumia moja, na kwa siri ya data ya AEAD hakuna HMAC ya data tofauti ya kusanidi.

Weka ukaguzi wa utambulisho nje ya matokeo ya siri

Algoriti ya sahihi ya cheti, uthibitishaji wa mnyororo wa uaminifu na uthibitishaji wa jina la mwenzake ni sifa tatu zaidi ambazo jina la siri halisemi chochote kuzihusu. Cheti kilichopitwa na wakati hushindikana bila kujali seti ni imara kiasi gani. Jina la seva lisilolingana hushindikana vivyo hivyo. Kurekebisha mpangilio wa digest katika wasifu hakurekebishi yoyote kati ya hayo mawili.

Weka ukaguzi huo katika maelezo ya mapitio kando ya matokeo ya siri, si kuunganishwa ndani yake.

Rekodi matokeo yaliyojadiliwa kutoka kikao cha sasa

Chukua matokeo kutoka muunganisho wa sasa na urekodi toleo za mteja na seva pamoja nayo. Kumbukumbu ya kuongeza pekee inaweza kuwa na mstari wa kikao cha zamani, na kuinukuu kama ya sasa ndiyo sababu tatizo lililotatuliwa huonekana kuendelea.

Kwa mapitio ya sera, mpe mmiliki wa usanidi toleo na seti ya TLS iliyojadiliwa, siri ya data iliyochaguliwa na mipangilio ya uthibitishaji wa cheti pamoja. Badilisha tabaka hilo, kisha soma kumbukumbu mpya ili kuthibitisha maadili mapya yaliyojadiliwa.