Compreender a autenticação HMAC em caso de túnel OpenVPN site-to-site

Question

Eu tenho uma configuração muito simples do OpenVPN onde o servidor OpenVPN é iniciado com openvpn --ifconfig 10.10.10.1 10.10.10.2 --dev tun e o cliente é iniciado com o comando openvpn --ifconfig 10.10.10.2 10.10.10.1 --dev tun --remote openvpnserver.example.com .

Estou ciente de que, no caso de --auth none (desativa a autenticação do HMAC) ou usar configurações padrão em que a autenticação do HMAC está ativada, o tráfego encapsulado do OpenVPN não é criptografado. No entanto, o que exatamente essa autenticação significa aqui? Pelo que entendi do manual do OpenVPN por padrão, os pacotes são autenticados com o HMAC usando o algoritmo SHA1. Qual o benefício que essa autenticação fornece? Com base nas capturas de pacotes, não consigo ver a diferença entre as configurações padrão e --auth none .

    

Answer 1

A criptografia impede que seus dados sejam lidos. Mas alguém ainda poderia modificá-las; eles não saberão exatamente quais alterações estão fazendo (devido à criptografia), mas dependendo do que você está usando no link, isso pode ser bastante catastrófico para o aplicativo.

Observe que a análise de tráfego (observando o tamanho e o tempo dos pacotes) geralmente pode oferecer a um atacante uma maneira muito boa de segmentar tráfego específico para corromper. Assim, um invasor pode segmentar apenas o aplicativo vulnerável a corrupção que está sendo executado no link.

A autenticação impede isso. Ele permite que o OpenVPN detecte que alguém adulterou o pacote e descartou o pacote, normalmente causando uma retransmissão.

(Existe outro significado de autenticação, que --auth não controla - quando você está no modo TLS, cada ponto de extremidade autentica o outro lado para ter certeza de que está falando [e, portanto, criptografando] a parte correta. , você poderia ter um ataque man-in-the-middle. No modo de chave pré-compartilhada, essa autenticação é feita fora da banda, quando você distribui as chaves compartilhadas)