OpenVPN பதிவு: கட்டுப்பாட்டு சேனலின் சைஃபர் மற்றும் தரவு சேனலின் சைஃபர்

DHE-RSA-AES256-SHA எனப் பெயரிடும் பதிவு வரி முழு இணைப்பின் சுருக்கம் அல்ல. இது கட்டுப்பாட்டு சேனலைப் பாதுகாக்கும் TLS கைக்குலுக்கலுக்கு உரியது, சுரங்கப்பாதைக்குள் உள்ள போக்குவரத்து முற்றிலும் வேறு விதமாக மறையாக்கப்படலாம். இதை VPN-இன் தரவு சைஃபராகக் காட்டுவது தவிர்க்க வேண்டிய தவறு.

இரண்டு முடிவுகள் முக்கியம், அவை வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன. ஒன்று கட்டுப்பாட்டு சேனலுக்கான ஒப்புக்கொள்ளப்பட்ட TLS தொகுப்பு; மற்றொன்று சுரங்கப்பாதை எடுத்துச் செல்லும் பாக்கெட்டுகளின் தரவு சைஃபர்.

இரண்டு முடிவுகள், இரண்டு கேள்விகள்

கட்டுப்பாட்டு சேனல் கைக்குலுக்கலையும் சகாக்களுக்கு இடையிலான நிர்வாகச் செய்திகளையும் எடுத்துச் செல்கிறது. அதன் சைஃபரை TLS அடுக்கு தேர்ந்தெடுக்கிறது, எனவே பெயர் TLS மரபுகளைப் பின்பற்றுகிறது. தரவு சேனல் பயனர் போக்குவரத்தை எடுத்துச் செல்கிறது, அதை OpenVPN-இன் சொந்த சைஃபர் பேச்சுவார்த்தை அமைக்கிறது.

இரண்டு வரிகளில் எதையும் படிக்கும் முன் நீங்கள் எந்தக் கேள்விக்குப் பதிலளிக்கிறீர்கள் என்பதைத் தீர்மானியுங்கள். சுரங்கப்பாதை மறையாக்கப்பட்டுள்ளதா, கைக்குலுக்கல் வலிமையானதா என்பது ஒரே கேள்வி அல்ல.

இரண்டு வரிகளையும் காட்டும் பதிவுப் பகுதி பயனுள்ளது. கட்டுப்பாட்டு வரியை TLS பதிப்பு மற்றும் தொகுப்புக்காகப் படியுங்கள், தரவு வரியை பேலோடை உண்மையில் பாதுகாக்கும் அல்காரிதத்திற்காகப் படியுங்கள்.

TLS தொகுப்பின் பெயரை அதன் சொந்த சூழலில் புரிந்துகொள்ளுங்கள்

OpenSSL பாணியிலான வரலாற்றுப் பெயரில், எடுத்துக்காட்டாக DHE-RSA-AES256-SHA, ஒவ்வொரு கூறும் வேறு முடிவை விவரிக்கிறது. DHE என்பது தற்காலிக Diffie-Hellman விசை ஒப்பந்தம், RSA என்பது அங்கீகார முறை, AES256 என்பது TLS பதிவுகளுக்கான CBC பயன்முறையில் AES-256, SHA என்பது SHA-1 அடிப்படையிலான பதிவு MAC.

கடைசிக் கூறு சான்றிதழின் கைரேகை அல்ல, அதை அப்படிப் படிப்பது பொதுவான தவறு. பெயர் தானாகவே நெறிமுறை பதிப்பையும் கூறாது, ஏனெனில் TLS 1.3 முற்றிலும் வேறு பெயரிடும் திட்டத்தைப் பயன்படுத்துகிறது. TLS_AES_256_GCM_SHA384 அந்தப் புதிய வடிவத்தைப் பின்பற்றுகிறது, அதில் இறுதி ஹாஷ் தொகுப்பின் கட்டமைப்பின் பகுதி, MAC தேர்வு அல்ல. கூறு அடிப்படையிலான படிப்பைப் பழைய பெயரிடும் பாணிக்கு மட்டும் பயன்படுத்துங்கள்.

OpenSSL தொகுப்பு குறிப்பு ஏதேனும் கூறு அறிமுகமில்லாததாக இருந்தால் இந்தப் பெயர்களை அவற்றின் வரையறைகளுடன் இணைக்கிறது.

எடுத்துச் செல்லப்படும் போக்குவரத்திற்கான தரவு சேனல் முடிவைப் படியுங்கள்

எடுத்துச் செல்லப்படும் போக்குவரத்திற்கு அதே அமர்வின் தரவு சேனல் வரியைப் படியுங்கள். கட்டமைப்பில் data-ciphers பட்டியல் அனுமதிக்கப்பட்ட தொகுப்பு, ஒரு குறிப்பிட்ட அல்காரிதம் ஒப்புக்கொள்ளப்பட்டதற்கான ஆதாரம் அல்ல. பதிவு தேர்வைப் பதிவு செய்கிறது; கட்டமைப்பு மெனுவைப் பட்டியலிடுகிறது.

AES-GCM போன்ற AEAD சைஃபர் அதன் சொந்த ஒருமைப்பாட்டுச் சோதனையைக் கொண்டுள்ளது, எனவே தனி தரவு சேனல் HMAC அந்தப் பாதையின் பகுதி அல்ல.

auth கட்டளை TLS, சான்றிதழ்கள் அல்லது தரவு சைஃபரை மேம்படுத்தாது. இது நெறிமுறையின் இன்னும் ஒன்றைப் பயன்படுத்தும் பகுதிகளுக்கு ஒரு டைஜெஸ்ட்டைத் தேர்ந்தெடுக்கிறது, AEAD தரவு சைஃபருடன் கட்டமைக்கத் தனி தரவு HMAC இல்லை.

அடையாளச் சோதனைகளை சைஃபர் முடிவுக்கு வெளியே வையுங்கள்

சான்றிதழின் கையொப்ப அல்காரிதம், நம்பிக்கைச் சங்கிலியின் சரிபார்ப்பு மற்றும் சகாவின் பெயர் சரிபார்ப்பு ஆகியவை சைஃபர் பெயர் எதுவும் கூறாத மேலும் மூன்று பண்புகள். காலாவதியான சான்றிதழ் தோல்வியடைகிறது, தொகுப்பு எவ்வளவு வலிமையானதாக இருந்தாலும். பொருந்தாத சேவையகப் பெயர் அதே வழியில் தோல்வியடைகிறது. சுயவிவரத்தில் டைஜெஸ்ட் அமைப்பைச் சரிசெய்வது இரண்டையும் சரிசெய்யாது.

இந்தச் சோதனைகளை மதிப்பாய்வுக் குறிப்புகளில் சைஃபர் முடிவுக்கு அருகில் வையுங்கள், அதில் கலக்கவிடாதீர்கள்.

தற்போதைய அமர்வின் ஒப்புக்கொள்ளப்பட்ட முடிவுகளைப் பதிவு செய்யுங்கள்

தற்போதைய இணைப்பின் முடிவுகளை எடுத்து அவற்றுடன் கிளையண்ட் மற்றும் சேவையகப் பதிப்புகளைப் பதிவு செய்யுங்கள். மட்டும் சேர்க்கப்படும் பதிவு பழைய அமர்வின் வரியை வைத்திருக்கலாம், அதைத் தற்போதையதாக மேற்கோள் காட்டுவது சரிசெய்யப்பட்ட சிக்கல் தொடர்வதாகத் தோன்றும் வழி.

கொள்கை மதிப்பாய்வுக்கு கட்டமைப்பின் உரிமையாளருக்கு ஒப்புக்கொள்ளப்பட்ட TLS பதிப்பு மற்றும் தொகுப்பு, தேர்ந்தெடுக்கப்பட்ட தரவு சைஃபர் மற்றும் சான்றிதழ் சரிபார்ப்பு அமைப்புகளை ஒன்றாகக் கொடுங்கள். அந்த அடுக்கை மாற்றி, பின்னர் புதிய ஒப்புக்கொள்ளப்பட்ட மதிப்புகளை உறுதிப்படுத்த புதிய பதிவைப் படியுங்கள்.