OpenVPN günlüğü: denetim kanalı şifresi ile veri kanalı şifresi

DHE-RSA-AES256-SHA adını anan bir günlük satırı tüm bağlantının özeti değildir. Denetim kanalını koruyan TLS el sıkışmasına aittir ve tünelin içindeki trafik bambaşka bir şeyle şifrelenmiş olabilir. Onu VPN'in veri şifresi olarak sunmak kaçınılması gereken hatadır.

İki sonuç önemlidir ve farklı sorulara yanıt verir. Biri denetim kanalı için anlaşılan TLS paketi; diğeri tünelin taşıdığı paketlerin veri şifresidir.

İki sonuç, iki soru

Denetim kanalı el sıkışmayı ve taraflar arasındaki yönetim mesajlarını taşır. Şifresini TLS yığını seçer, bu yüzden ad TLS kurallarına uyar. Veri kanalı kullanıcı trafiğini taşır ve OpenVPN'in kendi şifre görüşmesi tarafından yapılandırılır.

İki satırdan herhangi birini okumadan önce hangi soruya yanıt verdiğinize karar verin. Tünelin şifreli olması ve el sıkışmanın güçlü olması aynı soru değildir.

Her iki satırı gösteren bir günlük kesiti yararlı olandır. TLS sürümü ve paketi için denetim satırını, yükü gerçekten koruyan algoritma için veri satırını okuyun.

TLS paket adını kendi bağlamında çözümleyin

OpenSSL tarzı tarihsel bir adda, örneğin DHE-RSA-AES256-SHA, her bileşen farklı bir kararı tanımlar. DHE geçici Diffie-Hellman anahtar anlaşmasıdır, RSA kimlik doğrulama yöntemidir, AES256 TLS kayıtları için CBC kipinde AES-256'dır ve SHA SHA-1 tabanlı kayıt MAC'idir.

Son bileşen bir sertifika parmak izi değildir ve onu öyle okumak yaygın bir hatadır. Ad tek başına protokol sürümünü de söylemez, çünkü TLS 1.3 tamamen farklı bir adlandırma şeması kullanır. TLS_AES_256_GCM_SHA384 bu daha yeni biçimi izler; orada sondaki karma, MAC seçimi değil paket yapısının parçasıdır. Bileşen okumasını yalnızca eski adlandırma biçimine uygulayın.

OpenSSL paket başvurusu bir bileşen tanıdık değilse bu adları tanımlarıyla eşleştirir.

Taşınan trafik için veri kanalı sonucunu okuyun

Taşınan trafik için aynı oturumun veri kanalı satırını okuyun. Yapılandırmadaki data-ciphers listesi izin verilen bir kümedir, belirli bir algoritmanın anlaşıldığının kanıtı değildir. Günlük seçimi kaydeder; yapılandırma menüyü listeler.

AES-GCM gibi bir AEAD şifresi kendi bütünlük denetimini taşır, bu yüzden ayrı bir veri kanalı HMAC'i bu yola dahil değildir.

auth yönergesi TLS'i, sertifikaları veya veri şifresini yükseltmez. Protokolün hâlâ kullandığı bölümler için bir özet seçer ve AEAD veri şifresiyle yapılandırılacak ayrı bir veri HMAC'i yoktur.

Kimlik denetimlerini şifre sonucunun dışında tutun

Sertifika imza algoritması, güven zinciri doğrulaması ve eş adı doğrulaması, bir şifre adının hiçbir şey söylemediği üç özelliktir. Süresi geçmiş sertifika, paket ne kadar güçlü olursa olsun başarısız olur. Eşleşmeyen sunucu adı da aynı şekilde başarısız olur. Profildeki özet ayarını düzeltmek ikisini de onarmaz.

Bu denetimleri inceleme notlarında şifre sonucunun yanında tutun, onunla birleştirmeyin.

Geçerli oturumun anlaşılan sonuçlarını kaydedin

Geçerli bağlantının sonuçlarını alın ve istemci ile sunucu sürümlerini bunlarla birlikte kaydedin. Yalnızca ekleme yapılan bir günlük daha eski bir oturumun satırını içerebilir ve onu güncel diye alıntılamak, düzeltilmiş bir sorunun sürüyormuş gibi görünmesinin yoludur.

Politika incelemesi için yapılandırma sahibine anlaşılan TLS sürümünü ve paketini, seçilen veri şifresini ve sertifika doğrulama ayarlarını birlikte verin. O katmanı değiştirin ve ardından yeni anlaşılan değerleri doğrulamak için yeni bir günlük okuyun.