tls-auth vs tls-crypt: OpenVPNలో ప్రతి ఒక్కటి ఏమి రక్షిస్తుంది

రెండు ఎంపికలూ ఒకే పంచుకున్న కీ ఫైల్ను ఉపయోగిస్తాయి, రెండూ హ్యాండ్షేక్ ట్రాఫిక్ను నకిలీ చేయడం కష్టతరం చేస్తాయి, అందుకే వాటిని ఒకే లక్షణానికి రెండు పేర్లుగా పరిగణిస్తారు. అలా కాదు. ఒకటి నియంత్రణ ప్యాకెట్లపై సంతకం చేస్తుంది, మరొకటి వాటిని ఎన్క్రిప్ట్ కూడా చేస్తుంది, మీ డేటాను రక్షించే సైఫర్కు రెండింటికీ సంబంధం లేదు.

ప్రొఫైల్ కనెక్ట్ కాకపోయినప్పుడు, భద్రతా సమీక్ష కీ ఏమి రక్షిస్తుందని అడిగినప్పుడు, అదనపు ఫైల్ టన్నెల్ను ఏదో అస్పష్టమైన విధంగా ఎన్క్రిప్ట్ చేస్తుందని ఎవరైనా ఊహించినప్పుడు ఈ భేదం ముఖ్యం.

పంచుకున్న కీ నిజానికి ఏమి రక్షిస్తుంది

ఈ ఎంపికలు ఉపయోగించే కీ నియంత్రణ ఛానెల్కు చెందుతుంది: పారామితులపై చర్చించి, గుర్తింపులను నిరూపించి, డేటా కీలను పొందే మార్పిడి. ఇది హ్యాండ్షేక్ కొనసాగే ముందు రెండు చివరలా ఉండాల్సిన ముందుగా పంచుకున్న రహస్యం. ఇది గుర్తింపు తనిఖీలకు ముందు ఉన్నందున, తప్పు కీ తప్పు పాస్వర్డ్ కంటే ముందే సంభాషణను ఆపుతుంది. ఆ క్రమమే వైఫల్య విధానం ఎందుకు ఇంత నిశ్శబ్దంగా ఉందో వివరిస్తుంది.

tls-auth ఆ రహస్యాన్ని ఉపయోగించి నియంత్రణ ప్యాకెట్లపై HMAC లెక్కిస్తుంది. చెల్లుబాటు సంతకం లేని ప్యాకెట్ ఖరీదైన TLS ప్రాసెసింగ్కు చేరే ముందే విసిరివేయబడుతుంది, అందుకే ఈ ఎంపికను TLS ప్రత్యామ్నాయం కాదు, మొదటి ఫిల్టర్ అని వర్ణిస్తారు.

tls-crypt మరింత ముందుకు వెళ్లి రక్షిత నియంత్రణ ట్రాఫిక్ను ప్రామాణీకరించడంతో పాటు ఎన్క్రిప్ట్ కూడా చేస్తుంది. సర్టిఫికెట్ల విషయం, అంగీకరించిన సైఫర్ పేర్లు, ఇతర హ్యాండ్షేక్ వివరాలు ఇక నెట్వర్క్లో కనిపించవు, కీ లేని పరిశీలకుడు ఏ TLS వెర్షన్ ప్రయత్నిస్తున్నారో కూడా చూడలేరు. తన VPN ముద్ర బయటపడుతుందని భయపడే అమలుకు ఈ గుణమే దాన్ని ఎంచుకోవడానికి ప్రధాన కారణం. ఇది ఇప్పటికీ గుంపు రహస్యం, ప్రతి వినియోగదారుకు ప్రత్యేక ఆధారం కాదు.

ఏ యంత్రాంగం గుర్తింపులను జారీ చేయదు. పంచుకున్న కీ గుంపు రహస్యం, దాన్ని కలిగి ఉన్న ఎవరైనా తనిఖీలోని ఆ పొరను నెరవేర్చగలరు.

రెండు ఎంపికలు ఎక్కడ భిన్నంగా ఉన్నాయి

కనిపించే భేదం పరిశీలకుడు ఏమి చూస్తారో అదే. tls-auth ఉపయోగించినప్పుడు హ్యాండ్షేక్ కనిపిస్తుంది కానీ కీ లేకుండా ధృవీకరించలేము. tls-crypt ఉపయోగించినప్పుడు హ్యాండ్షేక్ కీ లేని ప్రతి ఒక్కరికీ అస్పష్టంగా ఉంటుంది.

కాన్ఫిగరేషన్ కూడా భిన్నం. tls-auth దిశ విలువతో ఉపయోగించబడుతుంది, కాబట్టి ఒక వైపు కీ పదార్థంలో సగం ఉపయోగిస్తుంది, మరో వైపు మిగిలిన సగం. tls-crypt రెండు దిశల్లో ఒకే కీని ఉపయోగిస్తుంది, కాబట్టి దిశ సూచన దాని అమరికలో భాగం కాదు.

ఆధునిక విడుదలల్లో రెండు ఎంపికలు ఒకదాన్ని మరొకటి మినహాయిస్తాయి. ప్రొఫైల్ వాటిలో ఒకటి మాత్రమే ఉండాలి, రెండూ కాదు, సర్వర్, క్లయింట్ ఒకేలాంటి కీ పదార్థంతో ఏది అని అంగీకరించాలి. పాత సూచనను కొత్త దాని పక్కన ఉంచడం సాధారణ మైగ్రేషన్ అవశేషం. నిష్క్రియమైన దాన్ని తొలగించండి, తద్వారా తదుపరి పాఠకుడు ఏ పొర నిజంగా అమలులో ఉందో తెలుసుకుంటారు.

కొత్త రూపం, tls-crypt-v2, ప్రతి క్లయింట్ను దాని సొంతం చుట్టబడిన కీతో కలుపుతుంది, కాబట్టి ఒక క్లయింట్ను రద్దు చేయాలంటే గుంపు కీని మళ్లీ జారీ చేయాల్సిన అవసరం లేదు. దీన్ని తెలుసుకోవడం మంచిది, కానీ ఇది వేరే ఎంపిక, ఇక్కడి రెండింటికీ ఇది పర్యాయపదం కాదు.

అసమానత ఎందుకు ఏమీ జరగనట్టు కనిపిస్తుంది

పంచుకున్న పదార్థం సరిపోకపోతే, ఎదుటి చివర పంపినవారికి కారణం చెప్పకుండా ప్యాకెట్లను విసిరేస్తుంది. చదవడానికి ఏ ప్రామాణీకరణ లోపం ఉండదు, ఎందుకంటే ప్యాకెట్ దాన్ని సృష్టించే పొరను ఎప్పుడూ చేరలేదు.

క్లయింట్ మళ్లీ ప్రయత్నిస్తుంది, సర్వర్ ఏమీ చెప్పదు, లక్షణం నెట్వర్క్ సమస్యలా కనిపిస్తుంది. అప్పుడు జనం సేవను మళ్లీ ప్రారంభిస్తారు, ఖాతా పాస్వర్డ్ను మళ్లీ టైప్ చేస్తారు, లేదా «పరీక్షించడానికి» రక్షణ సూచనను తొలగిస్తారు, ఇది నిర్ధారణ చేయడం బదులు అమలును మారుస్తుంది.

సర్వర్ లాగ్లో చివరి మళ్లీ-ప్రయత్నం లైన్ బదులు ప్యాకెట్-స్థాయి మొదటి ఫిర్యాదును చదవండి. రెండు వైపులా ఒకేలాంటి కీ పదార్థంతో అదే ఎంపిక ఉందని, కీ ఫైల్ ఒక వైపే మళ్లీ సృష్టించబడలేదని నిర్ధారించుకోండి.

సూచనను తొలగించడం సురక్షిత మరమ్మతు కాదు. ఇది ప్రతి క్లయింట్కు ఒక రక్షణ పొరను ఆఫ్ చేస్తుంది, ఆ తర్వాత పనిచేసే టన్నెల్ ఆ పొరే అసమానత అని మాత్రమే నిరూపిస్తుంది.

ఇంకా విడిగా కాన్ఫిగర్ చేయాల్సినవి

ఈ ఎంపికలు ఎదుటి చివర ఎవరో ధృవీకరించవు. సర్టిఫికెట్ ధృవీకరణ, విశ్వాస ఆధారం, ఆశించిన సర్వర్ పేరు వేర్వేరు అవసరాలుగానే ఉంటాయి, పంచుకున్న కీ ఉన్నందున వాటిలో ఏదీ ఐచ్ఛికం కాదు.

అవి డేటా సైఫర్ను కూడా ఎంచుకోవు. అది రెండు చివరల డేటా-ఛానెల్ సెట్టింగ్లు నియంత్రించే ప్రత్యేక చర్చ, మరియు tls-crypt తో రక్షించబడిన టన్నెల్ కూడా మీరు ఉద్దేశించని సైఫర్ను ఉపయోగించవచ్చు.

చివరగా, పంచుకున్న కీకే శ్రద్ధ అవసరం. దాన్ని రహస్యంగా పరిగణించండి, ఆమోదించిన ఛానెల్ ద్వారా పంపిణీ చేయండి, దాన్ని కలిగి ఉన్న ఎవరైనా వెళ్లిపోతే మార్చండి. ఇది పంచుకున్నది కాబట్టి, దాని బహిర్గతం దాన్ని ఉపయోగించే ప్రతి చివర యొక్క బహిర్గతం.