VPN தனிப்பட்ட திறவுகோலில் உள்ள கடவுச்சொற்றொடர் உண்மையில் எதைப் பாதுகாக்கிறது

VPN வாடிக்கையாளர் தொடங்கும்போது தோன்றும் கேள்வியைத் தவறாகப் படிப்பது எளிது. இது VPN கணக்கின் கடவுச்சொல் அல்ல, சுரங்கப்பாதையின் கடவுச்சொல் அல்ல, அதை உள்ளிடுவது இணைப்பு பாதுகாப்பானது என்று நிரூபிக்காது. இது ஒரு தனிப்பட்ட திறவுகோலின் சேமிக்கப்பட்ட ஒரு பிரதிநிதித்துவத்தைத் திறக்கிறது, இதனால் வாடிக்கையாளர் திறவுகோல் பொருளைப் படித்து அதை அங்கீகாரத்திற்குப் பயன்படுத்த முடியும். அதன் பிறகு நடப்பது வேறு கேள்வி.

நடைமுறையில் பதில் விளிம்புகளில் தவறாகிறது: கடவுச்சொற்றொடர் இயங்கும் சுரங்கப்பாதையைப் பாதுகாக்கிறது, அல்லது அதை மாற்றுவது ஏற்கனவே கசிந்த திறவுகோலின் நகலை ரத்து செய்கிறது என்று மக்கள் கருதுகிறார்கள். இரண்டு அனுமானங்களும் தோல்வியடைகின்றன, மேலும் இரண்டும் ஒரு சான்றுகுறி வெளிப்பட்ட நிலையில் இயக்குபவர் அது கையாளப்பட்டதாக நம்பும் வகையில் தோல்வியடைகின்றன.

ஒரு உரையாடல், பல வேறுபட்ட ரகசியங்கள்

தனிப்பட்ட திறவுகோலின் கடவுச்சொற்றொடர் ஒரு கோப்பை மறைகுறியாக்குகிறது. கணக்கு கடவுச்சொல் உங்களை ஒரு சேவைக்கு அங்கீகரிக்கிறது. PKCS#12 இறக்குமதி கடவுச்சொல் ஒரு திறவுகோலையும் அதன் சான்றிதழையும் கொண்ட தொகுப்பை மறைகுறியாக்குகிறது, மேலும் அது திறவுகோலின் சொந்த கடவுச்சொற்றொடரின் அதே சரமாக இருக்க வேண்டியதில்லை. இந்தக் கேள்விகள் கிட்டத்தட்ட ஒரே மாதிரியாகத் தோன்றலாம், எந்த ரகசியம் எங்கே செல்கிறது என்று யூகிப்பதே திறவுகோல்கள் தவறான புலத்தில் ஒட்டப்படுவதற்குக் காரணம்.

சுரங்கப்பாதையின் சொந்த மறையாக்கம் நான்காவது விஷயம். தரவு சேனல் கைக்குலுக்கலின் போது பேச்சுவார்த்தை செய்யப்பட்ட அமர்வு திறவுகோல்களைப் பயன்படுத்துகிறது; தனிப்பட்ட திறவுகோலின் கடவுச்சொற்றொடருக்கு தனிப்பட்ட பொதிகளைப் பாதுகாப்பதில் எந்தப் பங்கும் இல்லை. யாராவது திறவுகோல் கோப்பைப் படிக்க முடிந்தால், அவர் இணையமில்லாமல் கடவுச்சொற்றொடரை யூகிக்க முயலலாம், ஆனால் பொதிகளைப் படிக்க முடிந்தால், கடவுச்சொற்றொடர் பொருத்தமற்றது.

வட்டில் உள்ள மறையாக்கம் எதை உள்ளடக்குகிறது

மறைகுறியாக்கப்பட்ட PEM திறவுகோல் இரண்டு வடிவங்களில் வருகிறது, தலைப்பு எது உங்களிடம் உள்ளது என்று கூறும். நவீன PKCS#8 வடிவம் -----BEGIN ENCRYPTED PRIVATE KEY----- உடன் தொடங்குகிறது; பழைய OpenVPN அமைப்புகளில் இன்னும் பொதுவான பழைய PEM வடிவம் -----BEGIN RSA PRIVATE KEY----- உடன் தொடங்கி அதற்கு நேர் கீழே Proc-Type: 4,ENCRYPTED மற்றும் DEK-Info வரியைக் கொண்டுள்ளது. கோப்பு தனிப்பட்ட திறவுகோலை உங்கள் கடவுச்சொற்றொடரிலிருந்து பெறப்பட்ட திறவுகோலின் கீழ் மறைகுறியாக்கி வைத்திருக்கிறது, பொதுவாக குறிப்பிடப்பட்ட மறுநிகழ்வு எண்ணிக்கை அல்லது வேலைக் காரணி கொண்ட கடவுச்சொல் அடிப்படையிலான KDF மூலம். OpenSSL pkey ஆவணங்கள் வடிவங்களையும் படிக்கும்போது பொருந்தும் கடவுச்சொற்றொடர் விருப்பங்களையும் உள்ளடக்குகின்றன.

இதிலிருந்து இரண்டு விளைவுகள் வருகின்றன. பலவீனமான கடவுச்சொற்றொடரை KDF அனுமதிக்கும் வேகத்தில் இணையமில்லாமல் தாக்கலாம், எனவே கோப்பு மறைகுறியாக்கப்பட்டிருந்தாலும் கோப்பு அனுமதிகளும் காப்புப்பிரதிகளுக்கான அணுகலும் முக்கியமானவை. மேலும் கடவுச்சொற்றொடர் இல்லாமல் கோப்பை மட்டும் பெறும் தாக்குபவர் யூகிக்க வேண்டும்; கோப்பையும் கடவுச்சொற்றொடரையும் பெறுபவர் திறவுகோலைக் கொண்டிருப்பார், அது ஒருபோதும் மறைகுறியாக்கப்படாதது போல.

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

head -3 தலைப்பைக் காட்டுகிறது, பழைய கோப்பில் மறையாக்கத்தை நிரூபிக்கும் Proc-Type மற்றும் DEK-Info வரிகளைக் காட்டுகிறது; ஒரு வரி மட்டும் எந்தத் திசையிலும் சான்றாகாது. pkey வரி கடவுச்சொற்றொடரைக் கேட்டு பொது பாதியை மட்டும் அச்சிடுகிறது, இது கோப்பும் கடவுச்சொற்றொடரும் வேலை செய்வதை தனிப்பட்ட திறவுகோலை வெளிப்படுத்தாமல் நிரூபிக்கிறது. அந்தச் சரிபார்ப்புக்கு -text பயன்படுத்த வேண்டாம்: அது தனிப்பட்ட கூறுகளான privateExponent, prime1, prime2 மற்றும் மற்றவற்றை அச்சிடுகிறது, அந்த வெளியீடு எங்கும் ஒட்டப்படக்கூடாது, டிக்கெட்டிலும், அரட்டையிலும், பதிவிலும் அல்ல. PKCS#12 கட்டளை தொகுப்பில் தனி MAC அல்லது மறையாக்கக் கடவுச்சொல் உள்ளதா என்பதையும் கூறும், அதை சக ஊழியரிடம் ஒப்படைப்பதற்கு முன் தெரிந்துகொள்வது நல்லது.

திறவுகோல் ஏற்றப்பட்ட பிறகு அது எதைப் பாதுகாப்பதை நிறுத்துகிறது

திறப்பது அந்தச் செயல்முறைக்கு ஒரு வழி நிகழ்வு. வாடிக்கையாளர் KDF இடமிருந்து திறவுகோலைக் கேட்டு, கோப்பை மறைகுறியாக்கி, தேவைப்படும் வரை தனிப்பட்ட திறவுகோலை நினைவகத்தில் வைத்திருக்கிறார். அந்தத் தருணத்திலிருந்து கடவுச்சொற்றொடர் இயங்கும் அமர்வில் எதையும் பாதுகாக்காது: செயல்முறை நினைவகம் அல்ல, மைய டம்ப் அல்ல, வாடிக்கையாளருடன் இணைக்கப்பட்ட பிழைத்திருத்த அமர்வு அல்ல, திறவுகோல் பயன்பாட்டில் இருந்தபோது எடுக்கப்பட்ட இயந்திர காப்புப்பிரதி அல்ல.

இது கடவுச்சொற்றொடருள்ள SSH திறவுகோல் அல்லது கடவுச்சொல் நிர்வாகியின் திறக்கப்பட்ட பெட்டகம் போன்ற அதே எல்லை. இது ஓய்வில் உள்ள கோப்பைத் திருடுவதற்கான செலவை உயர்த்துகிறது, உங்கள் பயனராக இயங்கும் தீம்பொருள், வாடிக்கையாளரைக் கையொப்பமிடச் சொல்லும் அங்கீகரிக்கப்பட்ட பயன்பாடு, அல்லது நினைவகத்தைப் படிக்கக்கூடிய நிர்வாகி ஆகியோருக்கு எதிராக எதுவும் செய்யாது. இதை ஒரு அடுக்காகக் கருதுங்கள், திறவுகோலைச் சுற்றி விட்டுவிடுவதைப் பாதுகாப்பாக்கும் கட்டுப்பாடாக அல்ல.

கேள்வி ஏன் திரும்பத் திரும்ப வருகிறது

ஒவ்வொரு மறு இணைப்பிலும் மீண்டும் கேட்கும் வாடிக்கையாளர் அவசியம் பழுதடைந்திருக்க வேண்டியதில்லை. சில வாடிக்கையாளர்கள் அமர்வுக்காக கடவுச்சொற்றொடரை இடைநிலைச் சேமிப்பில் வைக்கின்றன, சிலர் அதை OS திறவுகோல் தொடரில் சேமிக்கின்றன, மேலும் சிலரை அதை வழங்கும் உதவியாளரிடம் திருப்பலாம், எனவே நீங்கள் பெறும் நடத்தை வாடிக்கையாளரையும் அதன் உள்ளமைவையும் பொறுத்தது, திறவுகோல் கோப்பைப் பொறுத்தது அல்ல.

திரும்பத் திரும்ப வரும் கேள்வியே உண்மையான புகார் என்றால், திறவுகோலிலிருந்து மறையாக்கத்தை அகற்றுவதற்கு முன் வாடிக்கையாளரின் இடைநிலைச் சேமிப்பு மற்றும் அங்கீகார விருப்பங்களைச் சரிபார்க்கவும். கடவுச்சொற்றொடரை அகற்றுவது பாதுகாக்கப்பட்ட கோப்பை எளிய உரை திறவுகோலாக மாற்றும், மேலும் மறு இணைப்பு அமைதியாகிறது, உங்களிடம் இருந்த ஒரே ஓய்வுக் கட்டுப்பாட்டின் விலையில். சிறந்த பதில் பொதுவாக நீங்கள் எப்படியும் பயன்படுத்தும் அதே கோப்பு அனுமதிகளுடன் ஆதரிக்கப்படும் சான்றுகுறி சேமிப்பகம்.

இழப்பும் வெளிப்பாடும் ஒரே பழுதுநீக்கம் அல்ல

இழந்த கடவுச்சொற்றொடரை சான்றிதழிலிருந்து மீட்டெடுக்க முடியாது. சான்றிதழ் ஒரு பெயரை ஒரு திறவுகோலுடன் இணைக்கும் பொது பொருள்; அதில் தனிப்பட்ட திறவுகோலுக்குத் திரும்பும் வழியோ கடவுச்சொற்றொடர் பற்றிய துப்போ இல்லை. நடைமுறை விருப்பங்கள் திறவுகோலின் அங்கீகரிக்கப்பட்ட காப்புப்பிரதி, அல்லது இயக்குபவரின் வழக்கமான செயல்முறையின் மூலம் வழங்கப்படும் புதிய அடையாளம். கடவுச்சொற்றொடரை 'மீட்டெடுப்பதாக' வழங்குபவர் அதை யூகிப்பதையே வழங்குகிறார்.

வெளிப்பாட்டுக்கு வேறு பதில் தேவை. அதே திறவுகோலை புதிய கடவுச்சொற்றொடருடன் மீண்டும் மறைகுறியாக்குவது திறவுகோல் பொருளை மாற்றாமல் விடுகிறது, எனவே வேறு இடத்தில் ஏற்கனவே திறக்கப்பட்ட நகல் இன்னும் வேலை செய்கிறது. பழுதுநீக்கம் சான்றுகுறியை ரத்து செய்வது அல்லது மாற்றுவது: புதிய திறவுகோலையும் சான்றிதழையும் வழங்கி, விநியோகித்து, பழையதை இணையில் ஓய்வுபெறச் செய்யுங்கள். அது நடக்கும் வரை, கோப்பு கடவுச்சொல்லை மாற்றுவது வீட்டு வேலை, கட்டுப்பாடு அல்ல. புதிய அடையாளம் வேலை செய்வதை உறுதிசெய்த பிறகே பழைய கோப்பை காப்புப்பிரதிகளிலிருந்து வெளியே வைத்து, எந்த வரிசை எண் அல்லது கைரேகை அதை மாற்றியது என்பதைப் பதிவு செய்யுங்கள்.