Ufunguo tuli au TLS kwa kiungo cha OpenVPN kati ya wenzao wawili?

Mashine mbili zinazozungumza tu na kila mmoja zinaweza kudumisha topolojia hiyo na bado zipate funguo za trafiki zilizojadiliwa. Umbo la mtandao na hali ya ulinzi ni chaguo huru, na kuchanganya hivi ndiko kunakowafanya watu kujaribu kuzungusha siri tuli kwa kubadilisha faili wakati daemon wote wawili wanaendelea kufanya kazi. Kubadilisha faili ya ufunguo chini ya jozi inayofanya kazi huzungushi chochote. Hali ya ufunguo tuli, ambayo OpenVPN 2.6 inaitaja kuwa imepitwa na wakati, inashikilia ufunguo mmoja kwa muda wote wa maisha ya handaki, kwa hivyo faili iliyo kwenye diski na ufunguo ulio kwenye kumbukumbu hupatana tena tu baada ya ncha zote mbili kuanzishwa upya. Ikiwa uboreshaji wa kiotomatiki ni hitaji, hali ya ulinzi lazima ibadilike.

Kile ambacho hali ya ufunguo tuli haiwezi kufanya

Katika hali ya siri, wenzao wote wawili hushiriki ufunguo ulioshirikiwa mapema unaosimba na kuthibitisha handaki moja kwa moja. Hakuna kupeana mkono, kwa hivyo hakuna utaratibu wa upande wowote kupendekeza nyenzo mpya ya ufunguo, kuthibitisha utambulisho, au kupona kutokana na kutokubaliana bila kuingia kwa mwendeshaji. Sifa zote mbili zinatokana na kukosekana kwa chaneli ya udhibiti na sio chaguo linalokosekana, na hakuna bendera ya usanidi inayoongeza moja katika hali hii.

Mwongozo wa OpenVPN 2.6 unasema wazi kwamba ufunguo unabaki hadi mpya itengenezwe. Hilo linakubalika kwa kiungo cha maabara au jozi isiyobadilika ya vifaa yenye utaratibu wa kuzungusha ulioandikwa, na halikubaliki popote ambapo siri ya muda mrefu ni hatari halisi. Kubadilisha faili hakuundi ufunguo mpya kwa jozi inayofanya kazi; huunda wenzao wawili wasiokubaliana. Kwa hivyo kubadilisha faili huongeza usumbufu bila kuongeza kuzungusha.

Pia hakuna dhana ya utambulisho wa mwenza zaidi ya umiliki wa faili. Yeyote aliye na ufunguo ni mwenza, na hakuna kitu kwenye handaki kinachorekodi upande gani ni upi, kwa hivyo kubatilisha ni kila kitu au hakuna.

Kuhamia TLS bila kubuni upya kiungo

Hali ya TLS huongeza chaneli ya udhibiti, na pamoja nayo uwezo wa kujadili funguo za chaneli ya data. Katika usambazaji wa nukta-hadi-nukta, upande mmoja huchukua jukumu la seva na mwingine la mteja, lakini topolojia inabaki kiungo kati ya wenzao wawili: kila upande unajua ncha ya mwisho ya mwingine, na hakuna bwawa au huduma ya watumiaji wengi inayojitokeza. Majukumu ni maelezo ya kupeana mkono, sio usanifu mpya.

Ipe kila mashine utambulisho wake. Kila upande unahitaji cheti na ufunguo wa faragha, nanga ya uaminifu inayothibitisha mwingine, na kanuni ya uthibitishaji wa mwenza inayotaja nani anatarajiwa. Usitumie tena ufunguo wa faragha wa mwenza mmoja kwa mwingine ili kuokoa muda; hilo hufanya utambulisho mbili kuwa moja na huondoa uwezo wa kubatilisha upande wowote kivyake. Usajili ni mahali pa kufanya hivi ipasavyo, kwa sababu kurekebisha baadaye kunamaanisha kutoa vyeti upya.

Weka mkataba wa mtandao bila mabadiliko wakati ulinzi unabadilika. Anwani zilezile za handaki, njia na huduma zilizoruhusiwa zinapaswa kutumika kabla na baada, ili kushindwa wakati wa uhamishaji kuwe tatizo la ulinzi na sio mshangao wa uelekezaji uliofichwa. Andika anwani na njia kabla ya mabadiliko; kuzilinganisha baadaye ni haraka kuliko kuzijenga upya kutoka kumbukumbu.

Baadhi ya usambazaji pia hulinda chaneli ya udhibiti kwa ufunguo wake tuli, ambao huzunguki pamoja na chaneli ya data. Ufunguo huo hulinda kupeana mkono na sio mzigo, kwa hivyo kufichuliwa kwake huweka wazi majadiliano na sio trafiki. Iuhifadhi kando na nyenzo za chaneli ya data, na upe tarehe ya kubadilisha ambayo mtu aliyetajwa anamiliki. Kuuzungusha kunamaanisha kuanzisha upya wenzao wote katika dirisha lililoratibiwa, ndiyo sababu unastahili ingizo la kalenda na sio kumbukumbu.

Nani anaboresha nini, na lini

Katika hali ya TLS, uboreshaji unaongozwa na mipaka iliyosanidiwa: muda, hesabu ya baiti au hesabu ya pakiti. Udhibiti wa muda ulioandikwa ndio ambao usambazaji mwingi hutegemea, na thamani ya chini yenye ufanisi kati ya wenzao wawili inaweza kuanzisha uingizwaji, kwa hivyo kuipandisha upande mmoja pekee hakutazuia tukio. Mipaka inayotegemea kiasi ipo kwa sababu kiungo chenye shughuli nyingi kinaweza kumaliza ufunguo muda mrefu kabla saa ifanye hivyo. Hakuna kipimo cha afya kati ya mipaka hiyo, na hakuna kinachokuambia kuwa uboreshaji ulifanikiwa.

Ndiyo sababu kugundua mazungumzo yanayorudiwa kutoka faili moja ya usanidi ni kupotosha. Soma mipangilio kwa wenzao wote, kisha angalia mpito kwenye kumbukumbu badala ya kudhani hitilafu. Uboreshaji unaokamilika safi huonekana kama mlipuko mfupi wa trafiki ya chaneli ya udhibiti, sio kama kukatika.

Weka vitu kando katika akili yako. Cheti huthibitisha utambulisho wa muda mrefu na hubadilishwa kwa ratiba unayodhibiti. Ufunguo wa chaneli ya data husasishwa kiotomatiki, na ubadilishanaji wa uthibitishaji tofauti, ikiwa usambazaji unahitaji mmoja, hufuata sera ya akaunti na unaweza kuhitaji mipango yake kwa ubadilishanaji wa baadaye.

Kuzima uboreshaji kabisa kwa kuweka muda kuwa sifuri sio suluhisho la kumbukumbu yenye kelele. Hubadilisha tukio la mzunguko wa maisha lenye afya kuwa ufunguo wa kudumu, jambo linalokurudisha kwenye sifa uliyokuwa ukijaribu kuiacha.

Kukubali mabadiliko

Jenga usanidi mpya kutoka kwa mfano unaotumika wa toleo lililosakinishwa, sio kutoka kwa kipande cha chini cha zamani ambacho algoriti na njia za faili zimerithiwa kutoka mahali pengine. Ratibu ubadilishaji ili wenzao wote wawili wabadilike pamoja, na uweke njia ya urejeshaji iliyoidhinishwa ikiwa upande mmoja hautainuka. Shusha kiungo kwa makusudi badala ya kusubiri usumbufu ili kujaribu kurudi nyuma. Kurudi nyuma ulikofanya mazoezi kuna thamani zaidi kuliko uliyoeleza.

Jaribu mambo matatu: uthibitishaji wa awali wa utambulisho unafanikiwa, mtiririko wa programu unaokusudiwa unafanya kazi, na uboreshaji unaodhibitiwa hutokea bila kupoteza trafiki. Kisha soma mpito kwenye kumbukumbu kwa kile inachothibitisha kweli: kitambulisho kipya cha ufunguo kinamaanisha wenzao walikamilisha uingizwaji, sio kwamba handaki liliunganishwa tena. Lichukulie kama ushahidi wa hatua moja, na kagua vihesabu vya trafiki kabla ya kutangaza uhamishaji umekamilika.

Kile ambacho ahadi ya kutokuwa na usumbufu ingeficha ni kushindwa ambako hujakiona bado. Uboreshaji unaoshindikana, cheti kinachoisha muda au hitilafu ya njia bado vinaweza kuvuruga kiungo, na hakuna kimoja kinachoondolewa na jaribio safi. Sifa inayostahili kubuniwa ni nyembamba zaidi na yenye manufaa zaidi: uingizwaji wa kawaida wa funguo huacha kuwa ubadilishaji wa faili kwa mkono.