OpenVPN tls-crypt-v2: வாடிக்கையாளர் விசை மற்றும் சுற்றப்பட்ட blob என்ன செய்கின்றன
tls-crypt-v2 சுயவிவரத்தில் வாடிக்கையாளர் கட்டுப்பாட்டு விசையும் சேவையகம் மட்டுமே திறக்கக்கூடிய சுற்றப்பட்ட நகலும் உள்ளன. ஒவ்வொரு பொருளையும் ஒவ்வொரு நீக்கல் படியையும் தனித்தனியாக வைத்திருங்கள்.
tls-crypt-v2 சுயவிவரத்தை டிக்கெட்டில் ஒட்டுவது, கோப்பில் என்ன இருக்கிறது என எண்ணும் வரை பாதிப்பில்லாததாகத் தெரிகிறது. வாடிக்கையாளரின் கட்டுப்பாட்டு சேனல் விசை அதே விசையின் மறைகுறியாக்கப்பட்ட நகலுக்கு அடுத்ததாக உள்ளது, மூன்றாவது பொருளான சுற்றும் விசை ஒருபோதும் ஏற்கும் சேவையகத்தை விட்டு வெளியேறாது. இந்த மூன்றும் பாதுகாப்பு, பங்கிடல் மற்றும் நீக்கல் பற்றிய வெவ்வேறு கேள்விகளுக்கு பதிலளிக்கின்றன. அவற்றைப் பிரிப்பது பெரும்பாலான கொள்கை விவாதங்களைத் தொடங்கும் முன்பே முடிக்கிறது.
சுயவிவரத்தில் உண்மையில் என்ன உள்ளது
tls-crypt-v2 இன் வாடிக்கையாளர் பாதி ஒரு விசையும் அதன் சுற்றப்பட்ட நகலும் ஆகும். வாடிக்கையாளர் கட்டுப்பாட்டு சேனல் பாதுகாப்புக்கு சாதாரண விசையைப் பயன்படுத்தி, அமைப்பின் போது சுற்றப்பட்ட நகலை சேவையகத்திடம் ஒப்படைக்கிறார், எனவே ஒவ்வொரு வாடிக்கையாளருக்கும் தெளிவு நகலைச் சேமிக்காமல் அதே விசையை சேவையகம் மீட்டெடுக்கிறது. சுற்றும் விசை அந்த மீட்டெடுப்பை சாத்தியமாக்கி ஏற்கும் பக்கத்திற்கு மட்டுமே சொந்தமானது. கீழே உள்ள அனைத்தும் அந்த மூன்று பொருள்கள் எங்கு வாழ்கின்றன என்பதிலிருந்து வருகிறது.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
அட்டவணையை பெயரால் அல்ல, பாதுகாப்பால் படியுங்கள், விளைவுகள் தாமாகவே தெளிவாகும். சுற்றும் விசையை இழப்பது விலை உயர்ந்த நிகழ்வு, ஏனெனில் சுயவிவரத்தில் எதுவும் அதை மீண்டும் உருவாக்க முடியாது, நேர்மையான மீட்பு குழுவை மீண்டும் வெளியிடுவதே. கசிந்த சுயவிவரம் மலிவானது ஆனால் மிகவும் பொதுவானது, ஏனெனில் சுற்றப்பட்ட நகல் கோப்பை பங்கிட பாதுகாப்பானதாக்குகிறது என்று நம்பும் மக்கள் சுயவிவரங்களை டிக்கெட்டுகளில் ஒட்டுகிறார்கள். இரு தோல்விகளுக்கும் வெவ்வேறு பதில்கள் தேவை, அதனால்தான் பொருள்கள் தனித்தனியாக வைக்கப்படுகின்றன.
சுற்றப்பட்ட நகல் முழுக் கதை ஏன் அல்ல
சுயவிவரம் பயன்படுத்தக்கூடிய வாடிக்கையாளர் பொருளை அதன் சுற்றப்பட்ட இணையுடன் சுமக்கிறது, எனவே சேவையகத்திற்கான நகலைப் பாதுகாப்பது கோப்பைப் பாதுகாப்பது பற்றி எதுவும் கூறவில்லை. Blob அனுப்ப பாதுகாப்பானது, வெளியிட பாதுகாப்பற்றது. அதற்குள் உள்ள மெட்டாடேட்டா blob பெறும் யாருக்கும் தெரியும், அது ஒட்டப்பட்ட டிக்கெட்டைப் பின்னர் படிக்கும் அனைவருக்கும்.
சுயவிவரத்தை உள்ளமைவு மாதிரியாக அல்ல, சான்றாகக் கருதுங்கள். கசிந்த கோப்பு அதன் வைத்திருப்பவருக்கு, சேவையகம் அந்த அடையாளத்தை ஏற்க நிறுத்தும் வரை வேலை செய்யும் வாடிக்கையாளர் அடையாளத்தைத் தருகிறது, சுற்றுதல் அந்த சாளரத்தைப் பற்றி எதுவும் செய்யாது. ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரு சுயவிவரத்தை வெளியிடுங்கள், அதனால் திரும்பப் பெறுதல் ஒரு கோப்பு முடிவாகவே இருக்கும், மேலும் சுற்றும் விசையின் காப்புப்பிரதியை அது இயக்கும் சேவையக உள்ளமைவிலிருந்து தனியாக வைத்திருங்கள். இரு பழக்கங்களும் சமரசமான சுயவிவரத்தை சரிசெய்யாது, ஆனால் இரண்டும் அடுத்தது எவ்வளவு விரைவாக கட்டுப்படுத்தப்படும் என்பதை தீர்மானிக்கின்றன.
கை குலுக்கலில் சரிபார்ப்பு கொக்கி எங்கே அமர்ந்துள்ளது
சரிபார்ப்பு கொக்கி TLS அடுக்கு வெளிப்படுத்தப்படும் முன் இயங்குகிறது, அதன் வேலை சுற்றப்பட்ட blob இல் எடுத்துச் செல்லப்படும் மெட்டாடேட்டாவை ஆய்வு செய்வதாகும். அது அந்த மெட்டாடேட்டாவையும் சிறிய, ஆவணப்படுத்தப்பட்ட சூழலையும் பெறுகிறது, அங்கீகார கொக்கியை விட வேலை செய்ய குறைவான பொருள் உள்ளது. பயனர் பெயர்கள், அமர்வு நிலை அல்லது செருகுநிரல் மாறிகளை இது பார்க்கும் எனக் கருதுவது இந்த கொக்கி மோசமாக எழுதப்படுவதற்கான வழக்கமான வழியாகும். வேறு கொக்கியிலிருந்து எதிர்பார்ப்புகளை கடன் வாங்குவதற்குப் பதிலாக கொக்கியின் சொந்த கையேடு பகுதியைப் படியுங்கள்.
அதன் வெளியேறும் நிலை முடிவு: பூஜ்ஜியமற்ற முடிவு வாடிக்கையாளரை நிராகரிக்கிறது, பூஜ்ஜிய முடிவு கை குலுக்கலைத் தொடர அனுமதிக்கிறது. எனவே மெட்டாடேட்டா இல்லாதபோது, பகுப்பாய்வு செய்ய முடியாதபோது அல்லது எதிர்பாராதபோது என்ன நடக்கிறது என்பதைக் கொள்கை கூற வேண்டும். முதலில் நிராகரிப்பு பாதையை எழுதுங்கள், பின்னர் எந்த மதிப்புகள் ஏற்றுக்கொள்ளத்தக்கவை என்பதை முடிவு செய்யுங்கள்.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shஅந்த இரு வரிகளே சேவையகத்தில் கொள்கையின் மேற்பரப்பு: ஒன்று சுற்றும் விசையைப் பெயரிடுகிறது, மற்றொன்று ஒவ்வொரு வாடிக்கையாளரையும் தீர்மானிக்கும் நிரலைப் பெயரிடுகிறது. சுவாரஸ்யமான அனைத்தும் ஸ்கிரிப்ட்டில் வாழ்கிறது, இது பதிப்புக் கட்டுப்பாடு மற்றும் வேறு எந்த அணுகல் விதிக்கும் சமமான மறுஆய்வுக்கு தகுதியானது.
கணக்கு, சான்றிதழ் மற்றும் கட்டுப்பாட்டு விசை தனித்தனியாக நீக்கப்படுகின்றன
கட்டுப்பாட்டு சேனலின் ஆரம்ப ஏற்பு அங்கீகாரம் அல்ல, ஏனெனில் இது TLS அடையாள சரிபார்ப்புக்கு முன்பும் எந்த கணக்கு அதிகாரத்திற்கும் முன்பும் நடக்கிறது. கணக்கை முடக்குதல், சான்றிதழை ரத்து செய்தல் மற்றும் வாடிக்கையாளர் கட்டுப்பாட்டு விசையை நிராகரித்தல் ஆகியவை மூன்று வழிமுறைகளைக் கொண்ட மூன்று செயல்கள். அவற்றில் ஒன்றை மட்டும் செய்யும் வரிசைப்படுத்தலில் கொள்கை அல்ல, இடைவெளி உள்ளது. மூன்றையும் வேண்டுமென்றே ஒருங்கிணைத்து, எந்த படி எந்த அதிகாரத்தைப் பயன்படுத்துகிறது என்பதைப் பதிவு செய்யுங்கள்.
நேரம் இரண்டாவது வேறுபாடு. மாற்றப்பட்ட ஏற்பு பட்டியல் புதிய கை குலுக்கல்களுக்குப் பொருந்தும், ஏற்கனவே நிறுவப்பட்ட அமர்வுகள் ஏதேனும் அவற்றை முடிக்கும் வரை தொடர்கின்றன. புதிய பட்டியலில் உள்ள உள்ளீடுகளை பழைய அமர்வுகள் முடிந்ததற்கான சான்றாக எண்ணுவதே நீக்கப்பட்ட வாடிக்கையாளர் மணிநேரங்களாக இணைக்கப்பட்டிருப்பதற்கான வழி.
ஒருங்கிணைக்கப்படாத அதிகாரங்கள் நடைமுறையில் எளிதில் கண்டறியக்கூடிய இரு துளைகளை விட்டுச் செல்கின்றன. கணக்கு முடக்கப்பட்டிருந்தாலும் அதன் கட்டுப்பாட்டு விசை இன்னும் கை குலுக்கலைத் திறக்கலாம், சான்றிதழ் ரத்து செய்யப்பட்டிருந்தாலும் மெட்டாடேட்டா கொள்கை அதே வாடிக்கையாளரை இன்னும் ஏற்கலாம். இரண்டும் வெவ்வேறு இடங்களில் ஒரே தவறு, ஏனெனில் இயக்குநர் ஒரு பட்டியலையே முழு அதிகாரமாகக் கருதினார். நீக்கும் நேரத்தில் மூன்று பட்டியல்களையும் அருகருகே வையுங்கள், தவறு தெரியும்.
சுயவிவரத்தை வெளியிடுதல் மற்றும் திரும்பப் பெறுதல்
வெளியிடுதல் எளிய பாதி: ஏற்கும் பக்கத்தில் வாடிக்கையாளர் விசையை உருவாக்கி, சுயவிவரத்தை சரியாக ஒரு உரிமையாளரிடம் ஒப்படைத்து, சுற்றும் பொருளை வரையறுக்கப்பட்டதாக வைத்து, ஒவ்வொரு ஏற்கும் சேவையகத்திலும் அதே சரிபார்ப்பு நிரலை இயக்குங்கள். மலிவான அனுமதி முழு குழுவின் பண்பு, புதிய ஹோஸ்ட்டின் பண்பு அல்ல. பழைய அல்லது தளர்வான ஸ்கிரிப்ட் உள்ள இரண்டாவது சேவையகம் அமைதியாக வரிசைப்படுத்தலின் பலவீனமான பாதையாகிறது.
திரும்பப் பெறுதலுக்கு மூன்று படிகளும் வேண்டுமென்றே வரிசையில் தேவை. புதிய கை குலுக்கல்கள் தோல்வியடைய சரிபார்ப்பு கொக்கியில் வாடிக்கையாளரை நிராகரியுங்கள், PKI பயன்படுத்தப்பட்டால் அதன் சான்றிதழை ரத்து செய்யுங்கள், பின்னர் அதிகாரம் வழங்க எதுவும் இல்லாதபடி கணக்கை முடக்குங்கள். பின்னர் பழைய ஏற்பு அனுமதித்த அமர்வுகளை முடியுங்கள், ஏனெனில் அவை மூன்றில் ஒன்றையும் கவனிக்காது. உடைக்க முடியும் வாடிக்கையாளரில் இந்த வரிசையைப் பயிற்சி செய்யுங்கள்.
சுயவிவரத்தில் உள்ள மெட்டாடேட்டா அந்தக் கொள்கைக்கான உள்ளீடு, அணுகல் கட்டுப்பாடு ஏற்கனவே உள்ளது என்பதற்கான சான்று அல்ல. OpenVPN 2.6 வடிவமைப்பு ஆவணம் பொருள்களையும் அவை வரையும் எல்லையையும் விவரிக்கிறது, அவற்றைச் செயல்படுத்துவது இயக்குநரிடமே இருக்கிறது.