tls-auth va tls-crypt: OpenVPN'da har biri nimani himoya qiladi

Ikkala variant ham bitta umumiy kalit faylidan foydalanadi va ikkalasi ham qo'l siqish trafigini soxtalashtirishni qiyinlashtiradi, shuning uchun ular bir xususiyatning ikki nomi deb qaraladi. Unday emas. Biri boshqaruv paketlarini imzolaydi, ikkinchisi ularni shifrlaydi ham, va ikkalasi ham ma'lumotlaringizni himoya qiluvchi shifrga aloqador emas.

Bu farq profil ulanmaganida, xavfsizlik tekshiruvi kalit nimani himoya qilishini so'raganda va kimdir qo'shimcha fayl tunnelni qandaydir noaniq tarzda shifrlaydi deb o'ylaganda muhim.

Umumiy kalit aslida nimani himoya qiladi

Bu variantlar ishlatadigan kalit boshqaruv kanaliga tegishli: parametrlarni kelishadigan, identifikatsiyalarni isbotlaydigan va ma'lumot kalitlarini chiqaradigan almashinuv. Bu qo'l siqish davom etishidan oldin ikkala uchida bo'lishi shart bo'lgan oldindan bo'lishilgan sirdir. U identifikatsiya tekshiruvlaridan oldin turgani uchun noto'g'ri kalit noto'g'ri parolga qaraganda suhbatni ertaroq to'xtatadi. Aynan shu tartib nosozlik usuli nega bunchalik jim ekanini tushuntiradi.

tls-auth bu sirdan boshqaruv paketlari bo'yicha HMAC hisoblash uchun foydalanadi. Haqiqiy imzosi bo'lmagan paket qimmatroq TLS ishloviga yetib borishdan oldin tashlab yuboriladi, shuning uchun bu variantni TLS o'rnini bosuvchi emas, birinchi filtr deb ta'riflashadi.

tls-crypt yanada ilgari boradi va himoyalangan boshqaruv trafigini autentifikatsiya qilishdan tashqari shifrlaydi ham. Sertifikatlar mazmuni, kelishilgan shifr nomlari va qo'l siqishning boshqa tafsilotlari endi tarmoqda ko'rinmaydi, kaliti yo'q kuzatuvchi qaysi TLS versiyasi sinalayotganini ham ko'ra olmaydi. O'zining VPN izi oshkor bo'lishidan qo'rqadigan joylashtirish uchun aynan shu xususiyat uni tanlashning asosiy sababi. U baribir guruh siri, har bir foydalanuvchi uchun alohida ishonchnoma emas.

Hech bir mexanizm identifikatsiya bermaydi. Umumiy kalit guruh siri, va unga ega bo'lgan har kim tekshiruvning o'sha qatlamini qondira oladi.

Ikki variant qayerda farq qiladi

Ko'rinadigan farq kuzatuvchi nima ko'rishidir. tls-auth bilan qo'l siqish ko'rinadi, lekin kalitsiz tekshirib bo'lmaydi. tls-crypt bilan qo'l siqish kaliti yo'q har kim uchun noaniq.

Konfiguratsiya ham farq qiladi. tls-auth yo'nalish qiymati bilan ishlatiladi, shuning uchun bir tomon kalit materialining bir yarmini, ikkinchi tomon qolgan yarmini ishlatadi. tls-crypt ikkala yo'nalishda bitta kalitdan foydalanadi, shuning uchun yo'nalish direktivasi uning tuzilishiga kirmaydi.

Zamonaviy versiyalarda ikki variant bir-birini inkor etadi. Profilda ulardan biri bo'lishi kerak, ikkalasi emas, va server bilan mijoz bir xil kalit materiali bilan qaysi biri ekanini kelishishi lozim. Eski direktivani yangisi yonida saqlash keng tarqalgan ko'chirish qoldig'i. Nofaolni olib tashlang, keyingi o'quvchi qaysi qatlam haqiqatan amalda ekanini bilsin.

Yangiroq variant, tls-crypt-v2, har bir mijozni o'zining o'ralgan kalitiga bog'laydi, shuning uchun bitta mijozni bekor qilish guruh kalitini qayta chiqarishni talab qilmaydi. Buni bilish arziydi, lekin bu boshqa variant va bu yerdagi ikkalasining ham sinonimi emas.

Nega nomuvofiqlik hech narsa bo'lmagandek ko'rinadi

Umumiy material to'g'ri kelmasa, qarshi tomon jo'natuvchiga sababini aytmasdan paketlarni tashlaydi. O'qish uchun autentifikatsiya xatosi yo'q, chunki paket uni yaratadigan qatlamga hech qachon yetib bormagan.

Mijoz yana urinadi, server hech narsa demaydi, va alomat tarmoq muammosiga o'xshaydi. Keyin odamlar xizmatni qayta ishga tushiradi, hisob parolini qayta kiritadi yoki «sinash» uchun himoya direktivasini olib tashlaydi, bu esa diagnostika qilish o'rniga joylashtirishni o'zgartiradi.

Server jurnalida oxirgi qayta urinish satri emas, paket darajasidagi birinchi shikoyatni o'qing. Ikki tomon ham bir xil kalit materiali bilan bir xil variantni olib yurishini va kalit fayli faqat bir tomonda qayta yaratilmaganini tasdiqlang.

Direktivani olib tashlash xavfsiz ta'mirlash emas. U har bir mijoz uchun himoya qatlamini o'chiradi, va keyin ishlaydigan tunnel faqat o'sha qatlam nomuvofiqlik bo'lganini isbotlaydi.

Hali alohida sozlanishi kerak bo'lgan narsa

Bu variantlar qarshi tomon kim ekanini tekshirmaydi. Sertifikatlarni tekshirish, ishonch tayanchi va kutilgan server nomi alohida talab bo'lib qoladi, va umumiy kalit borligi sababli ularning hech biri ixtiyoriy bo'lmaydi.

Ular ma'lumot shifrini ham tanlamaydi. Bu ikki tomonning ma'lumot kanali sozlamalari boshqaradigan alohida muzokara, va tls-crypt bilan himoyalangan tunnel ham siz o'ylamagan shifrdan foydalanishi mumkin.

Nihoyat, umumiy kalitning o'zi g'amxo'rlik talab qiladi. Unga sir sifatida munosabatda bo'ling, tasdiqlangan kanal orqali tarqating va uni ushlab turgan har kim ketganda almashtiring. U umumiy bo'lgani uchun, uning fosh bo'lishi uni ishlatadigan har bir uchning fosh bo'lishidir.