அந்த வெளியிடப்பட்ட OpenVPN விசை ஒரு CA, சக விசை அல்லது tls-auth ஆகுமா?

யாரோ VPN விசை பொதுவானது என்று தெரிவிக்கிறார்கள், அந்த வாக்கியம் முற்றிலும் வேறுபட்ட மூன்று நிலைகளை மறைக்கிறது. அது ஒவ்வொரு வாடிக்கையாளரும் வைத்திருக்க வேண்டிய CA சான்றிதழாக இருக்கலாம், ஒரு இயந்திரத்தை விட்டு வெளியேறவே கூடாத தனிப்பட்ட அடையாள விசையாக இருக்கலாம், அல்லது இரு முனைகளும் வைத்திருக்க வேண்டிய பகிரப்பட்ட கட்டுப்பாட்டு-சேனல் ரகசியமாக இருக்கலாம். சரிசெய்தல், அவசரம் மற்றும் சேதத்தின் அளவு ஒவ்வொரு நிலையிலும் வேறுபடுகிறது, எனவே முதல் பணி வகைப்படுத்தல், செயல் அல்ல. வகையைத் தவறாகக் கண்டால் அடுத்த ஒவ்வொரு படியும் வீண் உழைப்பு.

கோப்புப் பெயரில் இருந்து அல்ல, அறிவுறுத்தலில் இருந்து தொடங்குங்கள்

செயலில் உள்ள கட்டமைப்பைப் படித்து, எந்த அறிவுறுத்தல் தொடர்புடைய பொருளைச் சுட்டுகிறது என்பதைக் கண்டறியுங்கள். OpenVPN இன் TLS விருப்பங்கள் நம்பகமான சான்றிதழ் பொருளுக்கு ca, உள்ளூர் சகவனின் சான்றிதழுக்கு cert மற்றும் அதற்குரிய தனிப்பட்ட விசைக்கு key பயன்படுத்துகின்றன.

கோப்புப் பெயர்கள் எதையும் நிரூபிக்கவில்லை. key.pem என்ற பெயரிலான கோப்பில் சான்றிதழ் இருக்கலாம், சுயவிவரத்தில் உள்ள உள்ளமைக்கப்பட்ட தொகுதியில் வட்டில் உள்ள தனிக் கோப்பைப் போலவே அதே பொருள் இருக்கலாம். பெயரை நம்புவதற்குப் பதிலாக கோப்பைத் திறந்து அதன் தலைப்பைப் பாருங்கள். அந்த ஒரு சோதனை அறிக்கையின் பெரும்பாலான தெளிவின்மையை நீக்குகிறது.

சுயவிவரம் PKCS#12 தொகுப்பாக இருந்தால், அதில் உண்மையில் என்ன இருக்கிறது என்பதைப் பார்க்க கட்டுப்படுத்தப்பட்ட இடத்தில் அதைத் திறங்கள். ஒரு தொகுப்பில் சான்றிதழ், அதன் சங்கிலி மற்றும் தனிப்பட்ட விசை இருக்கலாம், அதாவது தொகுப்பின் கசிவு மூன்றின் கசிவு.

யாரும் கோப்பை மாற்றுவதற்கு முன் வகைப்படுத்தலை எழுதுங்கள்: பொருள், அறிவுறுத்தல், எந்த சகாக்கள் அதை வைத்திருக்கிறார்கள், யார் அதைப் படிக்கலாம். மீதமுள்ள முழுப் பதிலும் அந்த வாக்கியத்தைச் சார்ந்துள்ளது.

CA சான்றிதழ் பகிர்வதற்காக வடிவமைக்கப்பட்டுள்ளது

பொது CA சான்றிதழ் நம்பிக்கையின் பொருள். சேவையகத்தைச் சரிபார்க்க வாடிக்கையாளர்களுக்கு அது தேவை, அதை விநியோகிப்பது சம்பவம் அல்ல, சாதாரண நிலை. அதை வெளியிடுவது CA இன் தனிப்பட்ட கையொப்ப விசையை வெளியிடாது, தாக்குபவர் புதிய அடையாளங்களை உருவாக்க அனுமதிக்கும் பொருள் அதுவே.

இந்த வேறுபாட்டை டிக்கெட்டில் வெளிப்படையாக எழுதுவது மதிப்புள்ளது, ஏனெனில் இரண்டும் தொடர்ந்து குழப்பப்படுகின்றன. பதிலளிக்க வேண்டிய கேள்வி, கசிந்த கோப்பு சான்றிதழா அல்லது கையொப்ப விசையா என்பதுதான், கோப்பின் உள்ளடக்கத்தில் ஒரு பார்வை அதைத் தீர்மானிக்கிறது. சான்றிதழில் பொது விசையும் கையொப்பமும் இருக்கும்; கையொப்ப விசை அதில் சிறிதும் தெரியாது.

விநியோகத்திற்கு இன்னும் கவனம் தேவை. அங்கீகரிக்கப்பட்ட சுயவிவர விநியோக பாதையில் சான்றிதழ் பெற வேண்டும், ஒட்டும் தளத்தில் இருந்து அல்ல, நம்பமுடியாத பாதையில் வரும் சான்றிதழ் வழியிலேயே மாற்றப்படலாம்.

சக விசையும் tls-auth ரகசியமும் ஒன்றல்ல

சகவனின் தனிப்பட்ட விசை அடையாளப் பொருள். அது நகலெடுக்கப்பட்ட பிறகு, நோக்கமான சாதனத்தை நகலை வைத்திருக்கும் எவரிடமிருந்தும் சேவையகத்தால் வேறுபடுத்த முடியாது, ஏனெனில் நிரூபிக்கப்பட்ட பண்பு தனிப்பட்ட உடைமையே. அனுமதியைத் தொடர்வதும் மாற்றுவதும் VPN உரிமையாளரின் முடிவுகள், கோப்பைக் கண்டவரின் முடிவுகள் அல்ல.

tls-auth ரகசியம் மூன்றாவது. இது கட்டுப்பாட்டு-சேனல் பொதிகளின் சுற்றி HMAC அங்கீகாரத்தைச் சேர்க்கிறது, அதனால் தவறாக அங்கீகரிக்கப்பட்ட பொதிகள் TLS பரிமாற்றத்திற்கு முன் நீக்கப்படும், மேலும் இது சகவனின் தனிப்பட்ட விசையும் அல்ல, பயன்பாட்டுத் தரவை மறையாக்கும் விசையும் அல்ல.

அந்தப் பகிரப்பட்ட ரகசியம் பொதுவானது என்றால், அது வழங்கிய தடை அதைக் கொண்ட அனைவருக்கும் போய்விட்டது. ஒவ்வொரு வைத்திருப்பவரும் அதன் பின்னால் உள்ள சான்றிதழ் மற்றும் பயனர் சோதனைகளைக் கடக்கிறார் என்று அதிலிருந்து வராது, அதனால்தான் வகைப்படுத்தல் எச்சரிக்கை அளவை விட முக்கியம். எந்தத் தடை விழுந்தது, எவை எஞ்சியுள்ளன என்று சொல்லுங்கள்.

கசிந்த பங்கைச் சரிசெய்யுங்கள், அடுத்ததை அல்ல

கோப்பின் பெயரை மாற்றி அல்லது பதிவிறக்க இணைப்பை மறைத்து பகிரப்பட்ட ரகசியத்தை மீண்டும் தனிப்பட்டதாக்க முடியாது. மாற்றல் என்பது புதிய மதிப்பை உருவாக்கி ஒருங்கிணைந்த மாற்றத்தில் ஒவ்வொரு சகவனுக்கும் விநியோகிப்பது, ஒரு பக்கத்தை மட்டும் மாற்றினால் பழைய மதிப்பை வைத்திருப்பவர்கள் அனைவருக்கும் ஒப்பந்தம் உடையும்.

சகவனின் அடையாளம் வெளிப்பட்டிருந்தால், அந்த அடையாளத்திற்கு இயக்குபவரின் ரத்து மற்றும் மறுபதிவு செயல்முறையைப் பயன்படுத்துங்கள். தொடர்பில்லாத கணக்கின் கடவுச்சொல்லை மாற்றுவது நகலெடுக்கப்பட்ட சான்றிதழை செல்லாததாக்காது, tls-auth கோப்பை மாற்றுவதும் அல்ல.

இவற்றில் எதையும் நம்புவதற்கு முன், நிறுவப்பட்ட சேவையகம் உண்மையில் எதைச் செயல்படுத்துகிறது என்பதை உறுதிப்படுத்துங்கள். புதுப்பிக்கப்படாத ரத்து பட்டியல், அல்லது செயலிழப்பின் போது முடக்கப்பட்ட பங்கு சோதனை, பதிலை முழுவதுமாக மாற்றும். களஞ்சியத்தில் உள்ள நகலை அல்ல, இயங்கும் கட்டமைப்பைப் படியுங்கள்.

கடந்த போக்குவரத்தை அதன் சொந்த நிபந்தனைகளில் மதிப்பிடுங்கள்

வெளிப்பட்ட கோப்பு முன்பு பிடிக்கப்பட்ட அமர்வுகளை மறைகுறியாக்க முடியுமா என்பதைத் தானே சொல்லாது. அது விசை நிறுவல் முறை, வெளிப்பட்ட பொருள் மற்றும் எந்தப் பதிவுகள் உள்ளன என்பதைப் பொறுத்தது, ‘எல்லா போக்குவரத்தும் போய்விட்டது’ மற்றும் ‘எதுவும் நடக்கவில்லை’ இரண்டும் அந்த உண்மைகள் இல்லாமல் ஊகங்கள்.

அங்கீகாரம் எந்த வகையைச் சேர்ந்தது என்று கேட்கும்போது அதன் மற்றொரு நகலை இடாதீர்கள். அதற்குப் பதிலாக அங்கீகரிக்கப்பட்ட ஆதரவு பாதையில் அறிவுறுத்தல்களின் பெயர்களையும் ரகசியமற்ற மெட்டாடேட்டாவையும் பகிருங்கள்.

பயனுள்ள முடிவு பொருள், அதன் பங்கு, இழந்த பாதுகாப்பு மற்றும் தேவையான ஒருங்கிணைந்த நடவடிக்கையைப் பெயரிடுகிறது. இதைவிடச் சுருக்கமானது தலைப்பு, மதிப்பீடு அல்ல.