auth டைஜெஸ்ட் எந்த OpenVPN பாக்கெட்டுகளைப் பாதுகாக்கிறது?
auth விருப்பம் சுயவிவரம் குறிப்பதைவிடக் குறைவாகவே உள்ளடக்குகிறது. டைஜெஸ்ட் கொள்கையை அமைப்பதற்கு முன் சேனல், AEAD நிலை மற்றும் கட்டுப்பாட்டு-சேனல் பாதுகாப்பைச் சரிபார்க்கவும்.
OpenVPN டைஜெஸ்ட்கள் பற்றிய பெரும்பாலான விவாதங்கள் தவறான பாக்கெட்டிலிருந்து தொடங்குகின்றன. auth SHA256 என்பதை “SHA256 வழங்கும் பீர்களை மட்டும் ஏற்றுக்கொள்” என்று படிப்பது முதலில் மறக்க வேண்டிய விஷயம். இந்த விருப்பம் குறிப்பிட்ட பாக்கெட்டுகளுக்கு ஒரு டைஜெஸ்ட்டைப் பெயரிடுகிறது, அந்தப் பாக்கெட்டுகள் எவை என்பது சேனலைப் பொறுத்தது, அந்தச் சேனல் AEAD ஆக இருக்கிறதா என்பதையும் பொறுத்தது. கீழே உள்ள நான்கு கேள்விகளை வரிசையாகப் பாருங்கள்; ஒவ்வொன்றும் இந்த அமைப்பு உங்கள் பயன்பாட்டில் எந்தப் பொருள் கொள்ளலாம் என்பதைக் குறுக்குகிறது.
அமைப்பு பாதுகாக்க வேண்டிய சேனலைப் பெயரிடுங்கள்
OpenVPN இல் TLS கைக்குலுக்கல் போக்குவரத்தைக் கொண்டு செல்லும் கட்டுப்பாட்டு சேனலும், சுரங்கப்பாதையின் பேலோடைக் கொண்டு செல்லும் தரவுச் சேனலும் உள்ளன. auth டைஜெஸ்ட் இரண்டிலும் பங்கு வகிக்கிறது, ஆனால் ஒரே பங்கு அல்ல, சுயவிவரம் வேறுபாட்டை அரிதாகவே தெரியச் செய்கிறது. கட்டமைப்பு கோப்பைத் தொடுவதற்கு முன் இரண்டில் எதைக் கட்டுப்படுத்த முயல்கிறீர்கள் என்பதை எழுதுங்கள்.
கீழே உள்ள அட்டவணை அதே விருப்பம் ஒவ்வொரு சூழலிலும் எப்படி இறங்குகிறது என்பதன் சுருக்கமான வடிவம்.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
அதை நம்புவதற்கு முன் தரவுச் சேனல் AEAD ஆக உள்ளதா எனச் சரிபார்க்கவும்
பேச்சுவார்த்தை செய்யப்பட்ட தரவு சைஃபர் AES-GCM அல்லது CHACHA20-POLY1305 ஆக இருந்தால், தரவுச் சேனல் தன்னைத் தானே அங்கீகரிக்கிறது, தனி டைஜெஸ்ட் நீங்கள் கற்பனை செய்யும் வேலையைச் செய்யவில்லை. இரண்டும் AEAD கட்டமைப்புகள், எனவே பேலோடை மறையாக்கும் அதே செயல்பாட்டால் ஒருமைப்பாடு உருவாகிறது. இது தரக்குறைவு அல்ல, ஆனால் “ஒவ்வொரு தரவுப் பாக்கெட்டும் HMAC-SHA256” என்று நியாயப்படுத்தப்படும் கொள்கை அந்தச் சுரங்கப்பாதையில் உண்மையில் தவறானது என்பதைக் குறிக்கிறது. கொள்கையை மீண்டும் எழுதுவதற்கு முன் சேவையகப் பதிவில் அல்லது வாடிக்கையாளர் நிலை வெளியீட்டில் பேச்சுவார்த்தை செய்யப்பட்ட மதிப்பை உறுதிப்படுத்துங்கள்.
சுயவிவரத்தில் உள்ள பட்டியலுக்குப் பதிலாக உண்மையில் பேச்சுவார்த்தை செய்யப்பட்ட சைஃபரை ஆராயுங்கள், ஏனெனில் பேச்சுவார்த்தை தொகுப்பின் வேறு உறுப்பினரிடம் வந்து சேரலாம். data-ciphers AES-256-GCM:AES-128-GCM ஒரு பேச்சுவார்த்தைப் பட்டியல், இரண்டு உள்ளீடுகளும் AEAD, எனவே எதுவும் பேலோட் பாதுகாப்பிற்கு auth டைஜெஸ்ட்டைப் பயன்படுத்தவில்லை.
கட்டுப்பாட்டு-சேனல் பாதுகாப்பைத் தனி முடிவாகக் கருதுங்கள்
tls-auth கட்டுப்பாட்டு-சேனல் பாக்கெட்டுகளில் HMAC சேர்க்கிறது, அதன் டைஜெஸ்ட்டை auth அமைப்பிலிருந்து எடுக்கிறது, அதனால் AEAD சுரங்கப்பாதையிலும் அர்த்தமுள்ள டைஜெஸ்ட் கட்டமைக்கப்பட்டிருக்கலாம். tls-crypt தனது சொந்த நிலையான பாதுகாப்புடன் வேறு அமைப்பு, எனவே அது tls-auth இன் ஒவ்வொரு பண்பையும் மரபுரிமையாகப் பெறும் என்று கருத வேண்டாம். அனுமானங்களை அவற்றுக்கிடையே மாற்றுவதற்குப் பதிலாக நீங்கள் தேர்ந்தெடுத்த பொறிமுறையின் ஆவணங்களைப் படியுங்கள்.
இரு பீர்களும் அமைப்பு மற்றும் விசையின் திசை பற்றியும் ஒப்புக்கொள்ள வேண்டும். பொருந்தும் டைஜெஸ்ட் ஆனால் தவறான திசையில் பயன்படுத்தப்பட்ட விசைக் கோப்பு, டைஜெஸ்ட் அமைப்பு விளக்க முடியாத காரணங்களால் தோல்வியடையும் கைக்குலுக்கலை உருவாக்குகிறது.
auth ஐ சைஃபர் பேச்சுவார்த்தை மற்றும் சான்றிதழ்களிலிருந்து தனியாக வைத்திருங்கள்
மூன்று அமைப்புகள் தொடர்ந்து கலக்கப்படுகின்றன: auth டைஜெஸ்ட், தரவு-சைஃபர் பட்டியல் மற்றும் சான்றிதழின் கையொப்ப வழிமுறை. முதலாவதை மாற்றுவது சான்றிதழை மீண்டும் வழங்காது, அதன் கையொப்ப டைஜெஸ்ட்டைத் தேர்ந்தெடுக்காது, பயனர்-கடவுச்சொல் முறையை உருவாக்காது. நெறிமுறை விருப்பங்களின் வரையறைகள் OpenVPN 2.6 மூலங்களில் ஒவ்வொன்றையும் அதன் சொந்த பிரிவில் விவரிக்கின்றன, இவை சுயாதீன குமிழ்கள் என்பதற்கு இது பயனுள்ள நினைவூட்டல்.
டைஜெஸ்ட் மாற்றத்திற்குப் பிறகு பீர் இணைக்க மறுத்தால், காரணம் பொதுவாக மற்ற இரண்டு அமைப்புகளில் ஒன்றில் உள்ள பொருந்தாமை. எதையும் மாற்றுவதற்கு முன் இரு முனைகளையும் படியுங்கள்.
கொள்கையை எழுதி இயங்கும் கட்டமைப்புகளுடன் ஒப்பிடுங்கள்
குழு-நிலை அறிக்கை அனுமதிக்கப்பட்ட தரவு-சேனல் முறைகளையும் தேர்ந்தெடுக்கப்பட்ட கட்டுப்பாட்டு-சேனல் பாதுகாப்பையும் ஒரே வாக்கியத்தில் வெளிப்படையாகக் குறிப்பிட வேண்டும். அந்த வாக்கியம் சோதிக்கக்கூடியது; “நாங்கள் SHA256 பயன்படுத்துகிறோம்” அல்ல. பிறகு அதைக் களஞ்சியத்தில் உள்ள டெம்ப்ளேட்டுடன் அல்ல, பயனுள்ள சேவையகம் மற்றும் வாடிக்கையாளர் சுயவிவரங்களுடன் ஒப்பிடுங்கள்.
ஒவ்வொரு சுரங்கப்பாதையும் உண்மையில் என்ன ஒப்புக்கொண்டது, எந்தப் பொறிமுறை அதன் பாக்கெட்டுகளை அங்கீகரித்தது என்பதைப் பதிவு செய்து முடியுங்கள். சுயவிவரத்தில் தெரியும் auth வரி கட்டமைப்பு நோக்கத்தின் சான்று மட்டுமே, நோக்கம் சரிபார்ப்பின் மலிவான பகுதி.