Ìdí tí pákítì VPN tí a fi àṣírí ṣe lè ná kéré sí bí o ṣe rò

A ń wọn profáìlì méjì lórí gétiwéi kan náà, ọ̀kan pẹ̀lú àṣírí àti ọ̀kan láìsí, àti pé èyí tí a fi àṣírí ṣe kò lọ jẹ́jẹ́. Nígbà mìíràn ó máa ń yára, èyí tí ó máa ń dá ìjà dídíronáwa ẹlẹ́yà nípa bóyá a ṣe ìdánwò náà lọ́nà tí ó tọ́. Èsì náà jẹ́ èyí tí ó ṣeé gbà, nítorí náà iye owó pákítì kì í ṣe iye àwọn ọ̀rọ̀ kriptógiráfì nínú ìṣètò. Ó jẹ́ àkójọpọ̀ àwọn iṣẹ́ tí ìmúṣẹ ń ṣe, lórí ohun èlò tí ó ní, nípasẹ̀ ìtòlẹ́sẹẹsẹ búfà tí ó yàn.

Àmì àrùn: èyí tí ó lọ jẹ́jẹ́ kì í ṣe profáìlì tí a fi àṣírí ṣe

Ká sọ pé ìdánwò àtijọ́ fi sáífà AEAD wé ipò „láìsí àṣírí“ tí ó ṣì ń ṣírò kóòdù ìjẹ́rìí ọ̀tọ̀ọ̀tọ̀ fún pákítì kọ̀ọ̀kan. Profáìlì kejì fi àkóónú ẹrù náà pa mọ́ ṣùgbọ́n ó tọ́jú háṣì kan fún pákítì kọ̀ọ̀kan, àti lórí ẹ̀rọ ìṣírò tí kò ní ìmúyára fún háṣì yẹn, ó lè ná ju ìkọ́ àdàpọ̀ tí ó yẹ kí ó ṣẹ́gun.

Àmì nínú ìṣètò sọ pé „àṣírí“, àti àmì náà ni gbogbo ohun tí ọ̀pọ̀ àwọn ìfiwéra ń wò. Ọ̀nà pákítì sọ ohun mìíràn: profáìlì kan ń ṣe iṣẹ́ àdàpọ̀ tí CPU ní àwọn ìtọ́ni fún, èkejì sọ̀ ń ṣe ọ̀kan ọ̀tọ̀ tí kò ní. Kíkà fáìlì ìṣètò nìkan kò ní fi ìyàtọ̀ yẹn hàn láé, nítorí àwọn ìforúkọsílẹ̀ méjèèjì dàbí ìlà kan. Ipò tí a gbà àti ọ̀nà kóòdù tí ó wà lẹ́yìn rẹ̀ nìkan ni ó ń ṣàlàyé èsì náà.

Ìyẹn ni gbogbo àlàyé náà, kò sì béèrè ìsọ pé irú ìpilẹ̀ kan yára ju èkejì lọ ní gbogbo ibi. Méjèèjì lè yára, méjèèjì lè lọ jẹ́jẹ́, ìtòlẹ́sẹẹsẹ sì dá lórí ẹ̀rọ àti kóòdù.

Ka iṣẹ́, kì í ṣe àmì

Ìkọ́ AEAD, gẹ́gẹ́ bí RFC 5116 ṣe ṣàlàyé, fún ìmúṣẹ ní ojú-ìkànnkan kan tí ó ń dá kíkọ àṣírí àti àmì padà papọ̀. AES-GCM jẹ́ àpẹẹrẹ kan: àṣírí ní ipò kíkà pẹ̀lú olùjẹ́rìí Galois. Ojú-ìkànnkan kò jẹ́ kí ìwà pípé di ọ̀fẹ́; ó jẹ́ kí àdàpọ̀ náà ní ìtumọ̀ kedere, ìyẹn sì ni ó jẹ́ kí ìmúṣẹ lè mú àwọn méjèèjì dára jùlọ gẹ́gẹ́ bí ẹ̀yà kan.

Separate authentication path:
  payload -> independent HMAC -> framed packet

AEAD path:
  payload -> authenticated encryption with tag -> framed packet

Ìwọ̀nyí jẹ́ àwòrán ìṣiṣẹ́, kì í ṣe ìmọ̀ràn ìṣètò. Èkíní kò ní àṣírí ṣùgbọ́n ó ṣì ń lo CPU fún ìjẹ́rìí, ìyẹn sì ni ìdí tí „pa àṣírí“ kì í ṣe ìtumọ̀ kan náà pẹ̀lú „pa iṣẹ́ kriptógiráfì“.

Èkejì lè pọ̀wọ́n ní àìláárà nítorí àwọn ẹ̀rọ ìṣírò ń pèsè ìtọ́ni fún ìdajì méjèèjì: àwọn ìyípo AES àti ìsọdọ̀tun tí kò ní gbígbékalẹ̀ tí pápá Galois ń lò. Àwọn ilé-ìkàwé pẹ̀lú ń ṣiṣẹ́ lórí àwọn búfà olómìnira ní àkókò kan, èyí tí ó jẹ́ kí àwọn ìtọ́ni yẹn wà níṣiṣẹ́ dípò dídúró de ìrántí.

Ohun tí ipò tí a gbà ń mú ṣeéṣe ní ti gidi

Nínú Community OpenVPN, sáífà dátà AEAD túmọ̀ sí pé àṣàyàn auth kò tún pèsè HMAC ọ̀tọ̀ọ̀tọ̀ ti ikanni dátà mọ́. Ìtọ́kasí àṣàyàn àṣírí ṣàlàyé ìwọ̀n yẹn, ìyẹn sì ni ìdí tí ìṣètò méjì tí ó dàbí ẹni kan nínú fáìlì ọ̀rọ̀ lè yàtọ̀ nínú iṣẹ́ pákítì kọ̀ọ̀kan.

Ka ipò tí a gbà, kì í ṣe àkójọ ìfẹ́. Àkójọ àwọn sáífà tí a gbà àti orúkọ ẹ̀ka TLS kò sọ fún ọ ní àwọn iṣẹ́ tí ń ṣiṣẹ́ lórí ẹrù, àti pé ìlà cipher àtijọ́ lè má ṣàlàyé ohun tí ìsopọ̀ lọ́wọ́lọ́wọ́ yàn.

openvpn --show-ciphers | head -20
sudo grep -E 'cipher|auth' /etc/openvpn/server.conf

Àṣẹ kíní ṣe àkójọ àwọn sáífà tí bínárì ń ṣe àtìlẹ́yìn fún, èyí jẹ́ àkójọ agbára, kì í ṣe èsì tí a gbà. Èkejì fi ohun tí olùpèsè ń béèrè ní ti gidi hàn. Àkọsílẹ̀ ìsopọ̀ ni ibi láti fìdí àṣàyàn ìkẹyìn múlẹ̀, nítorí alábàáṣepọ̀ lè ṣubú sí ohun tí olùpèsè gbà ṣùgbọ́n tí ẹnikẹ́ni kò ní lọ́kàn.

Wọn ẹrù iṣẹ́ tí o ń ṣe ní ti gidi

Ìwọ̀n kékeré kriptógiráfì ń wọn ìpilẹ̀ kan ní àwọn ipò tirẹ̀. Ìgbékalẹ̀ VPN pẹ̀lú ń ṣe àdàkọ búfà, ń ṣètò ìlà tàbí ìdálẹ́kùn, ń ṣàyẹ̀wò ìlànà àti ń kọjá nẹ́tíwọ́ọ̀kì. Àwọn ẹ̀ka yẹn máa ń borí, ìyẹn sì ni ìdí tí ìpilẹ̀ tí ó yára kò fi máa ń dá ọ̀nà abẹ́ ilẹ̀ tí ó yára.

openssl speed -evp aes-256-gcm
openssl speed -evp sha1

Àwọn àṣẹ méjèèjì yẹn fún ọ ní ìfiwéra àdúgbò tí kò dára púpọ̀ ti àwọn ìpilẹ̀ lórí ẹ̀rọ tí ó wà níwájú rẹ, wọ́n sì jẹ́ olóòtítọ́ nípa pé ìwọ̀n kékeré ni wọ́n. Wọn kò sọ ohun kan nípa ìwọ̀n ìgbékalẹ̀ ọ̀nà abẹ́ ilẹ̀ rẹ, kò sì yẹ kí a tọ́ka sí wọn bẹ́ẹ̀ láé.

Lẹ́yìn náà wọn ẹrù tí ó ṣe pàtàkì, kí o mú gbogbo ohun mìíràn dúró: ibi ìparí kan náà, iwọn pákítì kan náà, gbígbé kan náà, ìlànà ìfúnpọ̀ kan náà. Tí ìyípadà profáìlì bá tún yí gbígbé tàbí ibi ìṣiṣẹ́ padà, èsì náà ṣàlàyé àkójọ yẹn, kì í ṣe kriptógiráfì.

Tọ́jú góólù náà pẹ̀lú ní ojú. Ọ̀nà dátà tí ó ní agbára kriptógiráfì àfikún lè ṣì wà ní ìdè ìdádúró nítorí pé ohun-èlò ń dúró de ìrìn àti ìpadà, àti èrè agbára ńlá kò tún ìlànà àsọjáde tí ó ń sọ̀rọ̀ púpọ̀ ṣe. Wọn ìṣètò tí a ṣe àtìlẹ́yìn fún àti tí ìlànà fọwọ́ sí gẹ́gẹ́ bí odidi, kí o sì ka „àpótí díẹ̀ gbọdọ̀ yára“ gẹ́gẹ́ bí àbá tí ó jẹ́. Ìbéèrè tí ó wúlò kì í ṣe bóyá àṣírí ń ná owó, ṣùgbọ́n bóyá ìnáwó yẹn farahàn nínú ìwọ̀n tí ó ṣe pàtàkì fún ọ ní ti gidi.