auth özeti hangi OpenVPN paketlerini korur?
auth seçeneği bir profilin ima ettiğinden daha azını kapsar. Bir özet politikası belirlemeden önce kanalı, AEAD durumunu ve kontrol kanalı korumasını inceleyin.
OpenVPN özetleriyle ilgili tartışmaların çoğu yanlış paketle başlar. auth SHA256 ifadesini “yalnızca SHA256 sunan eşleri kabul et” diye okumak ilk vazgeçilmesi gereken şeydir. Seçenek belirli paketler için bir özet adlandırır ve bu paketlerin hangileri olduğu kanala ve o kanalın AEAD olup olmadığına bağlıdır. Aşağıdaki dört soruyu sırayla ele alın; her biri ayarın dağıtımınızda ne anlama gelebileceğini daraltır.
Ayarın koruması gereken kanalı adlandırın
OpenVPN TLS el sıkışma trafiğini taşıyan bir kontrol kanalına ve tünelin yükünü taşıyan bir veri kanalına sahiptir. auth özeti her ikisinde de rol oynar, ama aynı rol değildir ve profil farkı nadiren görünür kılar. Bir yapılandırma dosyasına dokunmadan önce ikisinden hangisini sınırlamaya çalıştığınızı yazın.
Aşağıdaki tablo aynı seçeneğin her bağlamda nasıl yer aldığının kısa sürümüdür.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Ona güvenmeden önce veri kanalının AEAD olup olmadığını kontrol edin
Görüşülen veri şifresi AES-GCM veya CHACHA20-POLY1305 ise veri kanalı kendi kendini doğrular ve ayrı özet belki hayal ettiğiniz işi yapmıyordur. İkisi de AEAD yapılarıdır, dolayısıyla bütünlük yükü şifreleyen aynı işlemle üretilir. Bu bir düzey düşüşü değildir, ancak “her veri paketi HMAC-SHA256'dır” diye gerekçelendirilen bir politikanın o tünelde fiilen yanlış olduğu anlamına gelir. Politikayı yeniden yazmadan önce görüşülen değeri sunucu günlüğünde veya istemci durum çıktısında doğrulayın.
Profildeski liste yerine gerçekte görüşülen şifreye bakın, çünkü görüşme kümenin başka bir üyesine düşebilir. data-ciphers AES-256-GCM:AES-128-GCM bir görüşme listesidir ve her iki girdi de AEAD'dir, dolayısıyla hiçbiri yük koruması için auth özetini tüketmez.
Kontrol kanalı korumasını ayrı bir karar olarak ele alın
tls-auth, kontrol kanalı paketlerine HMAC ekler ve özetini auth ayarından alır; bu yüzden bir AEAD tünelinde hâlâ anlamlı bir özet yapılandırılmış olabilir. tls-crypt kendi sabit korumasına sahip farklı bir düzenlemedir, bu nedenle tls-auth'un her özelliğini devraldığını varsaymayın. Varsayımları aralarında taşımak yerine seçtiğiniz mekanizmanın belgelerini okuyun.
İki eş düzenleme ve anahtar yönü üzerinde de anlaşmalıdır. Eşleşen bir özet ama yanlış yönde kullanılan bir anahtar dosyası, özet ayarının açıklayamayacağı nedenlerle başarısız olan bir el sıkışma üretir.
auth'u şifre görüşmesinden ve sertifikalardan ayrı tutun
Üç ayar sürekli karıştırılır: auth özeti, veri şifreleri listesi ve sertifikanın imza algoritması. İlkini değiştirmek sertifikayı yeniden düzenlemez, imza özetini seçmez ve kullanıcı-parola yöntemi oluşturmaz. Protokol seçeneği tanımları OpenVPN 2.6 kaynaklarında her birini kendi bölümünde açıklar; bu da bunların bağımsız ayarlar olduğunu hatırlatan yararlı bir nottur.
Bir eş özet değişikliğinden sonra bağlanmayı reddederse, neden genellikle diğer iki ayardan birindeki uyumsuzluktur. Herhangi birini değiştirmeden önce iki ucu da okuyun.
Politikayı yazın ve çalışan yapılandırmalarla karşılaştırın
Filo düzeyindeki bir ifade, izin verilen veri kanalı kiplerini ve seçilen kontrol kanalı korumasını aynı cümlede açıkça adlandırmalıdır. O cümle test edilebilir; “SHA256 kullanıyoruz” değildir. Ardından bunu bir depodaki şablonla değil, etkin sunucu ve istemci profilleriyle karşılaştırın.
Her tünelin gerçekte neyi görüştüğünü ve paketlerini hangi mekanizmanın doğruladığını kaydederek bitirin. Bir profilde görünen auth satırı yalnızca yapılandırma niyetinin kanıtıdır ve niyet denetimin en ucuz kısmıdır.