OpenVPN கட்டுப்பாட்டுப் பொதிகளைக் கண்காணித்தல்: TLS க்கு முன் tls-auth

tls-auth தோல்வி பொதுவாக கைக்குலுக்கல் சிக்கல் எனத் தெரிவிக்கப்படுகிறது, ஆனால் அது ஒருபோதும் அப்படி இருந்ததில்லை. எந்த TLS செயலாக்கமும் தொடங்கும் முன் கட்டுப்பாட்டுப் பொதியில் HMAC சரிபார்க்கப்படுகிறது, எனவே பொருந்தாத விசை அல்லது திசை சான்றிதழ் சிக்கல் போலத் தோன்றும், இரு அடுக்கு முன்பே தீர்மானிக்கப்படும் தோல்வியை உருவாக்குகிறது. உறையைத் தனி பொருளாகக் கருதினால் நோயறிதல் சுருக்கமாகிறது: புலங்களைப் படிக்கவும், சரிபார்ப்பு முன்பே நடப்பதை உறுதிப்படுத்தவும், பின்னர் இரு முனைகளும் ஏற்க வேண்டிய மூன்று விஷயங்களை ஒப்பிடவும்.

உறை கட்டப்படும் வரிசையிலேயே படிக்கவும்

கட்டுப்பாட்டுப் பொதி அமர்வு அடையாளங்காட்டி, விருப்பத் தேர்வான tls-auth HMAC, மீள்வரவு மற்றும் ஒப்புகை தகவல், மற்றும் நம்பகமான செய்தி அடையாளங்காட்டி ஆகியவற்றைக் கொண்டுள்ளது, அதன் பின் செய்தி வகையின் ஏற்றம் வருகிறது. செய்தி கைக்குலுக்கல் செய்தியாக இருந்தால், ஏற்றம் TLS மறையாக்கப்பட்ட உரையாக இருக்கும். உறவு இவ்வளவுதான்: TLS பொருள் உறை ஏற்கனவே பாதுகாக்கும் செய்திக்குள் பயணிக்கிறது. பார்க்கவும் OpenVPN வலையமைப்பு நெறிமுறை குறிப்பு கட்டுப்பாட்டு அலைவரிசையின் புலங்களை அதே வரிசையில் பட்டியலிடுகிறது.

நம்பகத்தன்மை அடுக்கை மறையீட்டுடன் தவறாகக் கருதுவது எளிது. ஒப்புகைகள், மீளனுப்புதல் மற்றும் செய்தி அடையாளங்காட்டி நம்பகமற்ற இடமாற்றத்தின் மேல் கட்டுப்பாட்டுச் செய்திகள் ஒருமுறை, வரிசையாக வருவதற்காக உள்ளன. அவை அங்கீகாரம் அல்ல, சரியான செய்தி அடையாளங்காட்டி பொதியை யார் அனுப்பினார்கள் என்பதைப் பற்றி எதையும் நிரூபிக்காது.

இந்தத் தொகுப்பைக் கருத்தியலாக வைத்திருங்கள். இது பைட் வரிசை வரைபடம் அல்ல, குறிச்சொல்லைக் கணக்கிட போதுமானதும் அல்ல, ஏனெனில் HMAC இல் நுழையும் புலங்கள் செயலாக்கம், பதிப்பு மற்றும் பயன்முறையைப் பொறுத்தவை.

சரிபார்ப்பு கைக்குலுக்கலுக்கு முன் நடப்பதைக் காட்டுங்கள்

பகிரப்பட்ட விசை உள்ள பெறுநர் HMAC சரிபார்த்து போலிப் பொதியை உடனே தூக்கி எறியலாம், கைக்குலுக்கல் நிலையை ஒதுக்காமல் அல்லது பொதுவிசை வேலை செய்யாமல். பாதுகாப்பு முதல் கைக்குலுக்கல் பொதிகளையும் உள்ளடக்குகிறது, அதனால்தான் தவறான விசை தாமதமான அங்கீகாரப் பிழையாக அல்ல, தோல்வியுற்ற இணைப்பாகத் தோன்றுகிறது.

டீமனின் சொல்வளத்தை உயர்த்தி, tun சாதனத்துக்குப் பதிலாக கட்டுப்பாட்டு அலைவரிசையைக் கவனியுங்கள்:

openvpn --config /etc/openvpn/server.conf --verb 6

நீங்கள் தேடுவது பொதி மட்டத்தில் தெரிவிக்கப்படும் கட்டுப்பாட்டு அலைவரிசை HMAC சரிபார்ப்புத் தோல்வி, எந்த TLS எச்சரிக்கைக்கும் முன். பதிவில் TLS எச்சரிக்கை இருந்தால் உறை ஏற்கப்பட்டது, தோல்வி உள்ளே நகர்ந்தது எனப் பொருள், அது வேறு தீர்வு கொண்ட வேறு விசாரணை.

திசைக் கையாளுதல் இங்கும் உள்ளது. நிலையான விசைக் கோப்பு tls-auth உடன் பயன்படுத்தப்படும்போது, இரு முனைகளும் எதிரெதிர் விசைத் திசைகளை எடுக்கின்றன, பிடிபட்ட பொதி அதன் அனுப்புநருக்கே பிரதிபலிக்க முடியாதபடி நெறிமுறை அந்தப் பிரிவைப் பயன்படுத்துகிறது. திசையைத் திருப்பினால் விசை அதேயாக இருக்கும், இருந்தும் ஒவ்வொரு பொதியும் தோல்வியடையும். ஒரு முறைக்கு ஒரு முனையை மாற்றி, பின்னர் இரு டீமன்களையும் மறுதொடக்கம் செய்யுங்கள்.

இரு முனைகளிலும் விசை, திசை மற்றும் digest பொருத்துங்கள்

மூன்று மதிப்புகள் ஒத்துப்போக வேண்டும், அவற்றில் ஒன்று மட்டுமே கோப்பு. நிலையான விசையின் உள்ளடக்கம் இரு முனைகளிலும் ஒரே மாதிரியாக இருக்க வேண்டும், திசை எதிராக இருக்க வேண்டும், HMAC க்குப் பயன்படுத்தப்படும் digest பொருந்த வேண்டும். விசைப் பொருளைத் தொடும் முன் கட்டமைப்பைச் சரிபார்க்கவும், ஏனெனில் ஒரு திருப்பப்பட்ட திசை சிதைந்த கோப்பை விட அதிக தோல்விகளை விளக்குகிறது:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

பகிரப்பட்ட ரகசியத்தைத் தொகுப்பான் மூலம் அல்ல, கருவி மூலம் உருவாக்கி, அனுமதிகளை இறுக்கமாக வைத்திருங்கள்:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

பழைய வெளியீடுகள் விசை உருவாக்கத்திற்கு சற்று வேறுபட்ட விருப்ப வரிசையை ஏற்றன, அவற்றுக்காக எழுதப்பட்ட விவரக்குறிப்புகள் இன்னும் சுழல்கின்றன. உருவாக்கப்பட்ட கோப்பு இரு நிலைகளிலும் ஒரே வகைப் பொருள், எனவே சரிபார்ப்பு என்பது இரு முனைகளிலும் ஒரே பைட்டுகள் உள்ளனவா என்பது, எந்த எழுத்துப்பிழை அவற்றை உருவாக்கியது என்பது அல்ல.

tls-auth ஐ tls-crypt உடன் குழப்பிக் கொள்ள வேண்டாம். இரண்டும் கட்டுப்பாட்டு அலைவரிசையைப் பாதுகாக்கின்றன, ஆனால் tls-crypt அதை மறையாக்கவும் செய்து கைக்குலுக்கலை அவதானிப்பாளர்களிடமிருந்து மறைக்கிறது, மேலும் திசைப் பிரிவை அதன் சொந்த விசைக் கையாளுதலால் மாற்றுகிறது. ஒன்றைப் பயன்படுத்தும் விவரக்குறிப்பு மற்றதற்கு அமைக்கப்பட்ட இணையுடன் செயல்படாது, எந்த digest சீரமைப்பும் அந்த இடைவெளியை மூடாது.

குறிச்சொல்லை உண்மையான வடிவத்திலிருந்து மட்டுமே மீள உருவாக்குங்கள்

பைட்-துல்லியமான மீளுருவாக்கம் VPN இயக்குவதிலிருந்து தனி வேலை, அது உண்மையான உள்ளீடுகளுடன் மட்டுமே வேலை செய்கிறது: பொதியைக் கட்டிய செயலாக்கம் மற்றும் பதிப்பு, தேர்ந்தெடுத்த digest, திசை, மற்றும் அமர்வு அடையாளங்காட்டி, ஒப்புகை வரிசை உட்பட உண்மையான பைட்டுகள். புலப் பட்டியலின் உரை விளக்கம் அந்தப் பைட்டுகள் அல்ல.

குறிச்சொல்லின் நீளம் digest இலிருந்து வருகிறது, எனவே நிலையான நீளம் என்ற அனுமானம் யாராவது அதை மாற்றும் கணத்தில் உடைகிறது. செயலாக்கம் செய்வது போலவே பொதியை ஹாஷ் செய்யுங்கள், வலைப்பதிவில் உள்ள அட்டவணை வழங்குவது போல அல்ல, கையால் பெற்ற எதிர்பார்ப்புடன் அல்ல, அதே இணையிடமிருந்து எடுக்கப்பட்ட பிடிப்புடன் ஒப்பிடுங்கள்.

இந்தப் பயிற்சியை உற்பத்தி விவரக்குறிப்புகளிலிருந்து விலக்கி வைத்திருங்கள். குறிச்சொல்லை மீள உருவாக்குவதில் ஒரு வரிசைப்படுத்தல் பாதுகாப்பை இயக்க வேண்டுமா என்பதை எதுவும் சொல்லவில்லை.

பாதுகாப்பை நீக்காமல் பொருந்தாமையைப் பின்னுக்கு இழுங்கள்

கவரும் சோதனை tls-auth ஐ நீக்கி, இணைப்பு வெற்றி பெறுவதைப் பார்த்து, விசை தவறாக இருந்தது என முடிவெடுப்பது. அந்தப் பதில் பாதுகாப்பை இழக்கச் செய்கிறது, மூன்றில் எந்த மதிப்பு பொருந்தவில்லை என்பதை எதுவும் கற்பிக்கவில்லை. அதற்குப் பதிலாக சேவையகப் பக்கத்திலிருந்து அங்கீகரிக்கப்பட்ட பொருந்தும் கட்டமைப்பைப் பெற்று அதனுடன் ஒப்பிடுங்கள்.

மாற்றத்தை மீளக்கூடியதாகத் தயார் செய்யுங்கள். முந்தைய சேவையகக் கட்டமைப்பையும் விசைக் கோப்பையும் வைத்திருங்கள், திருத்தப்பட்ட இணையைப் பயன்படுத்துங்கள், ஒரு வாடிக்கையாளர் கைக்குலுக்கலை முடிப்பதைச் சரிபார்க்கவும், அதன் பின்னரே காப்புப்பிரதியை நீக்கவும். மாற்றத்திற்குப் பின் வாடிக்கையாளர்கள் தோல்வியடைந்தால், செயலிழப்பின் போது மூன்றாம் வகையை உருவாக்குவதற்குப் பதிலாக முந்தைய கோப்புகளை மீட்டெடுங்கள். மீட்டெடுப்பு தொடங்கும் முன் உங்களுக்குத் தெரிந்த ஒரே கட்டளையாக இருக்க வேண்டும்.

இறுதியாக, தேர்ச்சி பெற்ற சரிபார்ப்பின் பொருளை நினைவில் கொள்ளுங்கள். இணை பகிரப்பட்ட விசையைக் கொண்டுள்ளது என்பதை நிரூபிக்கிறது, அதன் சான்றிதழ் அல்லது கணக்கு அங்கீகரிக்கப்பட்டது என்பதை அல்ல, மேலும் பேச்சுவார்த்தை செய்யப்பட்ட தரவு-அலைவரிசை மறையாக்கம் பற்றி எதுவும் சொல்லவில்லை. அங்கீகாரமும் தரவுப் பாதுகாப்பும் பின்னர் நிறுவப்படுகின்றன, எனவே தூய்மையான உறை சரிபார்ப்பு ஒரு தொடக்கப் புள்ளி, தீர்ப்பு அல்ல.