OpenVPN TLS şifrə xətası: əvvəlcə hər iki tərəfi müqayisə edin

«Ortaq şifrə yoxdur» xətası dəyişdirilməli bir parametr kimi səslənir, amma insanların çoxunun dəyişdiyi parametr səhv olandır. OpenVPN TLS əl sıxmasını yerinə yetirən nəzarət kanalı üçün və tunelin içində paketləri daşıyan məlumat kanalı üçün ayrı siyasətlər saxlayır, xəta isə birincini adlandırır, insanlar ikincisini redaktə edir. Hər tərəfin nəyə icazə verdiyini düzgün ardıcıllıqla müqayisə etmək təxmini iki-üç qərara çevirir: versiya, sonra suite siyahısı, sonra etimad məlumatları.

Bu ardıcıllığı səhv etsəniz, heç vaxt baxılmayan siyahıya AES adı əlavə etməklə bir saat itirə bilərsiniz.

İki şifrə siyahısı, və yalnız biri əl sıxmanı pozur

Nəzarət kanalı TLS sessiyası üzərində razılaşır və onun siyasəti tls-cipher ilə TLS 1.2 üçün və tls-ciphersuites ilə TLS 1.3 üçün yazılır. Məlumat kanalı isə ayrıca data-ciphers ilə qurulur, burada uyğunsuzluq əvvəlcə qurulan, sonra trafiki keçirməyən bağlantı yaradır. Hər ikisi şifrələri qeyd edən xətalar verir, buna görə qarışdırılırlar. Heç tamamlanmayan əl sıxma nəzarət kanalını göstərir, paketləri itirən qurulmuş tunel isə məlumat kanalını göstərir.

Mesajın ilk sətrini deyil, hamısını oxuyun. Versiya uyğunsuzluğu, çatışmayan suite, həmin tərəfin rədd etdiyi sertifikat imza alqoritmi və host adının yoxlanmasının uğursuzluğu — hamısı TLS xətası ilə bitir, onlardan yalnız biri sizin suite siyahınıza aiddir. Bu kateqoriyaları ayırmaq diaqnostikanın böyük hissəsidir.

Suite-ləri müqayisə etməzdən əvvəl versiyaları müqayisə edin

TLS 1.2 ilə məhdudlaşan tərəf və 1.3 tələb edən tərəf heç bir versiyada üst-üstə düşmür və bunu heç bir şifrə sətri birləşdirmir. Hər iki tərəfdə tls-version-min və tls-version-max yazın, ya da istifadə olunan buxarların defolt qiymətlərini, çünki bir distributivin OpenSSL siyasəti heç bir OpenVPN seçimi demədən minimumu qaldıra bilər. Bir tərəf cihaz və ya üçüncü tərəf klientidirsə, onun pəncərəsi firmware-inin icazə verdiyidir. Suite müqayisəsi yalnız pəncərələr üst-üstə düşdükdən sonra məna daşıyır.

Bu qeydlər faktiki binar faylları da adlandırmalıdır. Komanda sətri ilə işləyən openvpn noutbukunuzda mütləq idxal edilmiş profili idarə edən klient deyil.

TLS 1.2 və TLS 1.3 siyahıları qarışmır

TLS 1.2 suite adları ECDHE-RSA-AES256-GCM-SHA384 kimi görünür və tls-cipher-ə aiddir; bu parametr OpenSSL şifrə sətri qəbul edir. TLS 1.3 suite-ləri isə TLS_AES_256_GCM_SHA384 kimi adlanır və tls-ciphersuites-ə aiddir; onlardan birini 1.2 sətrinə əlavə etmək 1.3 siyahısını qurmur və parser mətni heç vaxt uyğunlaşdırmadan qəbul edə bilər. Bir versiya üçün doğru olan filtr digəri haqqında heç nə demir. Hər siyahının hansı versiya üçün nəzərdə tutulduğunu yazın.

openvpn --show-tls yerli buxarın nəyi dəstəklədiyini çap edir və bu, vəd deyil, inventardır: uzaq tərəf həmin suite-lərə icazə verməyə bilər və aktiv profil onları aktivləşdirməyə bilər. Onu heç bir suite təqdim edə bilməyən buxarı istisna etmək üçün istifadə edin, sonra qurulmuş siyahıları müqayisə edin.

Razılaşmanı təzə bağlantıda sübut edin

Uğurlu əl sıxma sayılan yeganə sübutdur və real klientdən, real profillə gəlməlidir. Serverin detallılıq səviyyəsini artırın, bir dəfə qoşulun və ilk təklif olunan dəyərin qazandığını fərz etmək əvəzinə razılaşdırılmış protokol versiyasını və suite-i jurnaldan oxuyun. Sonra məlumat kanalını tuneldən keçən trafiklə ayrıca təsdiqləyin, çünki işləyən əl sıxma və uğursuz məlumat kanalı fərqli düzəlişlərdir. Hər konfiqurasiya dəyişikliyindən sonra təkrarlayın, çünki köhnəlmiş klient profili tez-tez yalançı mənfi nəticə verir.

Təsdiqlənmiş ümumi konfiqurasiya yoxdursa, cavab zəiflədilmiş siyasət deyil, yüksəltmə və ya miqrasiya planıdır. tls-version-min-i aşağı salmaq, yoxlamanı söndürmək və ya hər köhnə suite-i aktivləşdirmək onu doğuran təhlükəsizlik tələbini yerinə yetirmədən rəddi aradan qaldırır.

Razılaşdırılmış versiyanı, suite-i və məlumat şifrəsini dəyişiklik bilettinə yazın. Növbəti dəfə TLS xətası ilə qarşılaşan şəxs forum gönderisində tapılmış şifrə sətrindən deyil, həmin qeyddən başlayacaq.