Idadi ya biti katika faili ya ufunguo tuli si nguvu ya usimbaji wa OpenVPN

Kichanganuzi au mwenzako anaonyesha idadi ya biti zilizochapishwa ndani ya faili ya ufunguo tuli wa OpenVPN na kuuliza kwa nini handaki haitumii usimbaji wa ukubwa huo. Swali linaonekana la maana, na jibu si nambari: bango huhesabu nyenzo za ufunguo zilizohifadhiwa, wakati usimbaji hutumia tu sehemu ambayo ukubwa wa ufunguo wake unahitaji. Kuchukua jumla hiyo kama mpangilio wa nguvu huleta mabadiliko ambayo hayabadilishi chochote. Muundo ulijengwa kubeba nyenzo nyingi kuliko zinazotumiwa na algoriti yoyote moja.

Hapa maswali mawili yanachanganyika: ni nyenzo ngapi za ufunguo faili huhifadhi, na usimbaji uliokubaliwa una nguvu gani. Ya pili pekee inaelezea handaki.

Nambari iliyo kwenye bango huhesabu nini kwa kweli

Kontena husasisha nyenzo za usimbaji na nyenzo za HMAC kama miundo tofauti, na umbo la pande mbili huhifadhi seti mbili kama hizo ili kila mwelekeo ubebe funguo zake. Msimbo wa uandishi hupata nambari iliyochapishwa kutoka idadi ya miundo iliyosafishwa, ukubwa wake na biti nane kwa baiti. Hiyo ni hesabu juu ya hifadhi, si dai kwamba usimbaji mmoja hutumia kila baiti iliyohifadhiwa. Kichwa pia huweka mgao wa juu wa nyenzo za usimbaji ili mabadiliko ya maktaba yasiweze kubadilisha vipimo vya muundo kwa utulivu.

Linganisha hilo na ufunguo wa cheti, ambapo idadi ya biti huelezea ukubwa wa kitu kimoja. Ufunguo wa RSA wa biti 4,096 na faili ya ufunguo ambayo bango lake linasoma biti 4,096 ni vitu tofauti vyenye kazi tofauti, na kuvipanga kama mipangilio miwili kwenye kitufe kimoja huleta hitimisho baya.

Seti mbili za funguo katika faili moja

Kila nusu ya faili hutoa nyenzo za usimbaji na uthibitishaji kwa sababu hali ya ufunguo ulioshirikiwa mapema hulinda pakiti katika pande zote mbili kwa vipande hivyo tofauti. Usimbaji unaotumika hutumia baiti zinazohitajika na ukubwa wa ufunguo wake tu, na muhtasari hutumia ukubwa wake wa matokeo, ndiyo sababu nguvu inayoweza kutumika hutoka kwenye chaguo, si kwenye urefu wa faili. Kurefusha blob ya heksadesimali hakuombi algoriti iliyowekwa itumie zaidi yake. Kuhariri maoni kwa nambari kubwa hubadilisha hata kidogo zaidi.

Ikiwa unataka ufunguo mrefu kwa kweli, mpangilio unaopaswa kubadilishwa ni usimbaji au muhtasari, na kizalishaji huzalisha kile algoriti zilizochaguliwa zinahitaji.

Kusoma wasifu hukuambia una hali gani

Muundo huo huo wa faili hutumikia kazi mbili tofauti kabisa, na wasifu pekee unasema ni upi ulionao. Mstari wa zamani wa secret hufanya faili kuwa nyenzo pekee za ufunguo wa handaki, wakati tls-auth au tls-crypt hufanya kuwa ulinzi wa kituo cha udhibiti pamoja na vyeti. Hakuna matumizi yoyote yanayoufanya ufunguo wa faragha wa cheti cha mteja, jinsi gani kizuizi kinavyoonekana. Tambua chaguo na toleo kabla ya kuzalisha mbadala, na tumia kizalishaji kilichoandikwa badala ya kuongeza herufi.

Tofauti hiyo pia huamua jibu kwa ufichuzi. Ufunguo wa tls-auth unaovuja haufichui funguo za kipindi, lakini humruhusu mshambuliaji kuingiza trafiki ya kituo cha udhibiti, kwa hiyo bado unahitaji kubadilishwa. Ufunguo wa secret uliovuja ni mbaya zaidi, kwa sababu ulikuwa nyenzo iliyolinda data yenyewe.

Mapitio ya usalama yanapaswa kurekodi nini

Rekodi mambo matatu kwa tofauti: ulinzi uliokubaliwa wa kituo cha data, ulinzi wa kituo cha udhibiti na jinsi wenzako wanavyothibitisha. Mstari kama data-ciphers AES-256-GCM unaelezea wa kwanza pekee, na ripoti inayosimama hapo haiwezi kujibu kama kituo cha udhibiti kinalindwa hata kidogo. Faili ya ufunguo tuli iko katika kundi la pili inapotumika na tls-auth au tls-crypt, na hakuna hata moja inapotumika. Wakaguzi wanaochanganya makundi huomba faili kubwa ya ufunguo wakati wanachotaka ni usimbaji wenye nguvu zaidi.

Ikiwa faili ilifichuliwa, izungushe na uisambaze tena kupitia kituo kilichoidhinishwa. Kuongeza herufi kwenye siri iliyoathirika si uzungushaji, na huacha nyenzo zilizofichuliwa zikiwa halali.

Weka rekodi ya uzungushaji pamoja na wasifu inaomhusu. Mapitio yajayo yatauliza ufunguo upi ulilinda kipindi kipi, na bango halitajibu hilo.