أسماء ملخصات SHA1 في OpenSSL: ماذا تعني قائمة قديمة

تُقرأ قوائم الملخصات القديمة كما لو كانت نسخة حرفية من قرارات تشفيرية، لكنها ليست كذلك. تقف أسماء مثل SHA1 و DSA-SHA1-old أو RSA-SHA1-2 جنباً إلى جنب في نسخ OpenSSL القديمة لأن المكتبة سجّلت عدة نقاط دخول حول آليات تجزئة مترابطة. ولا تدل تسمية RSA أو DSA في تلك القائمة على شيء يخص ما OpenVPN فعله بالحزمة. إن ما تقرأه هو جرد المكتبة، لا سجل جلسة.

لا بد من فصل ثلاثة أشياء قبل أن يكون لأي استنتاج معنى: الاسم المسجل، وحساب الملخص تحته، والعملية التي تستهلكه.

التسجيل واجهة لا تقييم قوة

في OpenSSL 1.0.2 يربط جدول تسجيل الملخصات الأسماء والأسماء المستعارة والتطبيقات في ملف واحد. واصف DSS1 القديم هو أوضح حالة: فهو يعلن طول خرج SHA-1 ويستدعي روتين إنهاء SHA-1 بينما يحمل اسماً يوحي بخوارزمية مختلفة تماماً. لذا لا تعني الحروف الإضافية في التسجيل تجزئة مختلفة ولا خرجاً أطول ولا مستوى أمان جديداً.

يحفظ المصدر نفسه علاقات الأسماء المستعارة للجهات المستدعية الأقدم، وهو ما يفسر ازدحام القائمة. وهذا توثيق للتوافق، وليس وعداً بأن موفّر OpenSSL الحالي يعرض الأسماء نفسها.

أسماء التوقيع لا تصنع توقيعات

يمكن لإطار توقيع أن يربط ملخصاً بواجهة خوارزمية أخرى كي تظل الجهات المستدعية الحالية قادرة على الترجمة. والتوقيع الحقيقي بالمفتاح العام يحتاج إلى مفتاح وإلى خطوة توقيع تستخدمه، ولا يوفر أي منهما اسمٌ في قائمة. لذا فإدخال ملخص بطابع RSA هو اسم يجوز للمستدعي استخدامه، وليس دليلاً على أن كل حزمة VPN حملت توقيع RSA.

هذه هي الخطوة التي ينزلق فيها الكتّاب الأقدم إلى الحكايات الشعبية. إن أردت معرفة كيف جرى توثيق الحزم، فابحث عن الخيار الذي اختار الآلية واقرأ ما يفعله في الإصدار الذي تشغّله فعلاً. وصفحة الدليل التي شُحنت مع ذلك الإصدار هي الوصف الوحيد المطابق للبرنامج الذي أمامك. أما الأدلة المؤرشفة فتصف الإصدار الذي كُتبت له، وقد تكون متأخرة بعدة اصطلاحات تسمية.

اعثر على الخيار الذي استهلك الاسم

في حالة توثيق الحزم التي يوثقها OpenVPN 2.6، يختار auth ملخصاً يستخدمه HMAC، وهو بناء توثيق رسائل بمفتاح لا توقيع شهادة. وخوارزمية توقيع شهادة TLS خاصية منفصلة من خصائص المصافحة.

مع شفرة بيانات AEAD يتوقف تطبيق إعداد auth المنفصل على قناة البيانات، بينما يبقى دوره في tls-auth مسألة مستقلة. لذلك لا تستطيع قائمة ملخصات أن تخبرك أي تجزئة حمّت الحزم الحالية، أو أي مجموعة TLS جرى التفاوض عليها، أو كيف وُقعت شهادة النظير. ولا يمكن إلا للإعداد الفعلي مع الإصدار أن يجيب عن ذلك، وللأتصال الذي أمامك فقط.

سجّل ما لديك فعلاً

اكتب إصدار OpenVPN، ومكتبة التشفير المرتبطة، والخيارات الدقيقة في الملف التعريفي، ونتيجة اتصال حقيقي. هذه المجموعة تجيب عن أسئلة لا تستطيع صورة لقائمة ملخصات الإجابة عنها، وتبقى بعد الترقية التالية لأنها تذكر إصدارات لا انطباعات.

وقبل كل شيء، لا تختر اسماً مستعاراً قديماً لأن اسمه يبدو أقوى أو أكثر تحديداً. اختر السياسة المدعومة للاتصال كله، وتعامل مع الأسماء القديمة كسجل لكيفية تقديم المكتبة لنفسها سابقاً.