Yayımlanan OpenVPN anahtarı bir CA, bir eş anahtarı mı yoksa tls-auth mu?

Birisi VPN anahtarının herkese açık olduğunu bildiriyor ve bu cümle birbirinden tamamen farklı üç durumu gizliyor. Bu, her istemcide olması gereken bir CA sertifikası, hiçbir zaman tek bir makineden çıkmaması gereken özel bir kimlik anahtarı ya da iki ucun da tutması gereken ortak bir kontrol kanalı sırrı olabilir. Onarım, aciliyet ve hasarın kapsamı her durumda farklıdır, bu yüzden ilk görev eylem değil sınıflandırmadır. Kategoriyi yanlış belirlerseniz sonraki her adım boşa harcanmış çabadır.

Dosya adından değil, direktiften başlayın

Etkin yapılandırmayı okuyun ve hangi direktifin söz konusu malzemeye işaret ettiğini bulun. OpenVPN'in TLS seçenekleri güvenilir sertifika malzemesi için ca, yerel eşin sertifikası için cert ve ona ait özel anahtar için key kullanır.

Dosya adları hiçbir şeyi kanıtlamaz. key.pem adlı bir dosyada sertifika olabilir ve profildeki gömülü bir blok, diskteki ayrı bir dosyayla tamamen aynı nesneyi içerebilir. Adına güvenmek yerine dosyayı açın ve başlığına bakın. Bu tek kontrol raporun belirsizliğinin çoğunu ortadan kaldırır.

Profil bir PKCS#12 paketiyse, gerçekte ne içerdiğini görmek için kontrollü bir yerde açın. Tek bir paket bir sertifika, zinciri ve özel anahtar taşıyabilir; bu da paketin sızmasının üçünün de sızması anlamına gelir.

Sınıflandırmayı biri bir dosyayı değiştirmeden önce yazın: nesne, direktif, hangi eşlerin tuttuğu ve kimin okuyabildiği. Yanıtın geri kalanı o cümleye bağlıdır.

Bir CA sertifikası paylaşılmak üzere tasarlanmıştır

Ortak bir CA sertifikası güven malzemesidir. İstemciler sunucuyu doğrulamak için ona ihtiyaç duyar ve dağıtılması olay değil olağan durumdur. Onu yayımlamak CA'nın özel imzalama anahtarını yayımlamaz ve saldırganın yeni kimlikler üretmesine izin verecek nesne tam da odur.

Bu ayrımı bilete açıkça yazmakta fayda var, çünkü ikisi sürekli karıştırılır. Yanıtlanması gereken soru, sızan dosyanın sertifika mı yoksa imzalama anahtarı mı olduğudur ve dosyanın içeriğine hızlı bir bakış bunu çözer. Sertifika bir ortak anahtar ve imza taşır; imzalama anahtarı onda hiç görünmez.

Dağıtım yine de özen ister. İstemciler sertifikayı onaylı profil teslim yoluyla almalı, bir yapıştırma sitesinden almamalıdır ve güvenilmez bir yoldan gelen sertifika yolda değiştirilebilir.

Eş anahtarı ile tls-auth sırrı aynı şey değildir

Bir eşin özel anahtarı kimlik malzemesidir. Kopyalandığında sunucu, amaçlanan cihazı kopyayı elinde tutan herkesten ayırt edemez, çünkü kanıtlanan özellik münhasır elde bulundurmaktı. Yetkilendirmeyi sürdürmek ve değiştirmek VPN sahibinin kararlarıdır, dosyayı bulanın değil.

tls-auth sırrı üçüncü şeydir. Kontrol kanalı paketlerinin çevresine HMAC kimlik doğrulaması ekler, böylece yanlış doğrulanmış paketler TLS değişiminden önce atılır ve bu ne eşin özel anahtarıdır ne de uygulama verilerini şifreleyen anahtar.

Bu ortak sır herkese açıksa, sağladığı bariyer ona sahip olan herkes için ortadan kalkmıştır. Bundan her sahibin arkasındaki sertifika ve kullanıcı kontrollerini geçtiği sonucu çıkmaz; bu yüzden sınıflandırma alarm düzeyinden daha önemlidir. Hangi bariyerin düştüğünü ve hangilerinin kaldığını söyleyin.

Sızan rolü onarın, komşusunu değil

Ortak bir sır, dosyayı yeniden adlandırarak veya indirme bağlantısını gizleyerek yeniden özel hale getirilemez. Değiştirmek, yeni bir değer üretmek ve onu eşgüdümlü bir değişiklikle her eşe dağıtmak demektir; yalnızca bir tarafı değiştirmek eski değeri hâlâ tutan herkes için düzenlemeyi bozar.

Bir eşin kimliği açığa çıktıysa, o kimlik için operatörün iptal ve yeniden kayıt sürecini kullanın. İlgisiz bir hesabın parolasını değiştirmek kopyalanmış bir sertifikayı geçersiz kılmaz, tls-auth dosyasını değiştirmek de kılmaz.

Bunlardan herhangi birine güvenmeden önce dağıtılan sunucunun gerçekte neyi uyguladığını doğrulayın. Yenilenmeyen bir iptal listesi ya da bir kesinti sırasında devre dışı bırakılan rol kontrolü yanıtı tamamen değiştirir. Depodaki kopyayı değil, çalışan yapılandırmayı okuyun.

Geçmiş trafiği kendi koşullarıyla değerlendirin

Açığa çıkan dosya, daha önce yakalanan oturumların çözülüp çözülemeyeceğini kendi başına söylemez. Bu, anahtar kurma yöntemine, açığa çıkan malzemeye ve hangi kayıtların bulunduğuna bağlıdır; «tüm trafik kayboldu» da «hiçbir şey olmadı» da bu gerçekler olmadan birer tahmindir.

Kimlik bilgilerinin hangi kategoriye girdiğini sorarken bir kopyasını daha yayımlamayın. Bunun yerine direktif adlarını ve gizli olmayan üst verileri onaylı destek yoluyla paylaşın.

Yararlı sonuç nesneyi, rolünü, kaybedilen korumayı ve gereken eşgüdümlü eylemi adlandırır. Bundan kısa olan her şey bir başlıktır, değerlendirme değil.