OpenVPN paketi HMAC autentifikatsiyasi muvaffaqiyatsiz: qaysi qatlam?

Bir xil so'z boyligi bilan xabar qilinadigan ikki nosozlik va ularning deyarli hech qanday umumiyligi yo'q. Biri autentifikatsiya tegi tasdiqlanmagan paket; ikkinchisi esa hisob ma'lumotlari rad etilgan shaxs. Birinchisini ikkinchisi deb qabul qilsangiz, hech qachon muammo bo'lmagan parolni izlab chiqasiz.

Xabar qatlamni nomlaydi va foydali ish har qanday materialni almashtirishdan oldin qaysi qatlam ekanini hal qilishdir. Nomzodlarni yonma-yon solishtirish farqni ko'rishning eng tez yo'lidir.

Bitta so'zni bo'lishadigan ikki nosozlik

Paket autentifikatsiyasi xatosi trafikni qayta ishlash paytida yuzaga keladi: qabul qilingan paketdagi teg yoki daydjest qabul qiluvchi hisoblagan qiymatga mos kelmadi. Hisobni rad etish kirish almashinuvi tahlil qilingandan keyin yuz beradi va paketni emas, foydalanuvchini nomlaydi. Kiruvchi paketda HMAC topilmasligi haqidagi uchinchi xabar yana boshqacha, chunki u yerda paket kutilgan autentifikatsiya elementisiz kelgan. To'liq jurnal prefiksi uchdan qaysi biri sizda ekanini aytadi va xato chiptaga qo'yilganda odatda birinchi bo'lib shu prefiks olib tashlanadi.

Bu farq tuzatishni o'zgartiradi. Birinchisi kanal sozlamalarining mosligini talab qiladi, ikkinchisi hisob holatini, uchinchisi esa yetib borgan tinglovchiga mos kelmaydigan profilni talab qiladi.

Ishlayotgan jarayon aslida nima yuklaganini solishtiring

Diskdagi to'g'ri fayl tahrir qilinishidan oldin boshlangan jarayon haqida hech narsani isbotlamaydi. Tanlangan profilni, u bog'langan oxirgi nuqtani va o'zgarishdan buyon xizmat qayta yuklangan-yuklanmaganini tekshiring. Oxirgi nuqta profilga tegishli ekanini ham tasdiqlang, chunki eski fayl boshqa narsani kutayotgan joyda boshqa nusxa yoki boshqa xizmat tinglayotgan bo'lishi mumkin.

Qo'llab-quvvatlanadigan profilni o'sha manbadan qayta eksport qilish arzon solishtirishdir, chunki u sozlangan deb o'ylagan narsangiz bilan mijoz aslida yuboradigan narsa o'rtasidagi farqni yo'q qiladi. Yangi kalit materialini yaratish ancha katta qadam bo'lib, faqat ikki tomon uni birga qabul qilsa yordam beradi. Bir tomonni mahalliy ravishda almashtirish siz yo'q qilmoqchi bo'lgan nomuvofiqlikni qaytadan yaratadi.

Boshqaruv kanalini ma'lumot kanali bilan solishtiring

Ikki mexanizm ulanishning turli qismlarini autentifikatsiya qiladi va alohida sozlanadi, 2.6 parametrlari ma'lumotnomasi ta'riflaganidek. tls-auth boshqaruv kanali paketlariga HMAC qo'shadi va ikki tomonda qarama-qarshi bo'lishi kerak bo'lgan yo'nalish argumentini oladi, tls-crypt esa buning o'rniga boshqaruv kanalini umumiy kalit bilan himoya qiladi. Hech biri ma'lumot kanalining o'z yaxlitlik tekshiruvi emas. AEAD ma'lumot shifrida bu tekshiruv shifrning ichiga qurilgan, shuning uchun alohida auth daydjest AEAD bo'lmagan shifrdagi kabi ishlatilmaydi.

Bu shuni anglatadiki, ishlaydigan AEAD bo'lmagan joylashtirishdan ko'chirilgan auth satri AEAD joylashtirishida ahamiyatsiz bo'lishi mumkin va agar tls-auth kaliti yoki uning yo'nalishi noto'g'ri bo'lsa, AEAD joylashtirishi baribir boshqaruv kanalida muvaffaqiyatsiz bo'lishi mumkin. Har bir sozlamani eslab qolingan konfiguratsiya bilan emas, qarshi tomon bilan solishtiring.

Tuzatishni voz kechayotgan xususiyat bilan solishtiring

Paket autentifikatsiyasini o'chirish ogohlantirishni jim qiladi va nomuvofiqlikni topgan tekshiruvni olib tashlaydi, bu profilni tuzatish bilan bir xil emas. Qaysi xususiyatdan voz kechayotganingizni va dizayn usiz ham turishini so'rang.

Biror narsani o'zgartirishdan oldin ikkala uchda birinchi tegishli hodisani o'qing, keyin faqat u nomlagan nomuvofiqlikni o'zgartiring.

Agar keyingi urinish sertifikat yoki kirish xatosiga o'tsa, bu tanazzul emas, taraqqiyot: paket qatlami endi kelishadi va ulanish oldinga siljigan. O'zgarishni keltirib chiqargan sozlamalarni yozib qo'ying, keyingi odam jumboq o'rniga tushuntirishni meros olsin.