SECLEVEL=0 simptomu aradan qaldırır, sertifikatı yox

OpenVPN bağlantısı uğursuz olur, kimsə SECLEVEL=0 əlavə edən bir sətirlik düzəliş tapır və tunel qalxır. Dəyişən sertifikat da, şifrə dəsti də deyildi; kitabxana səviyyəsində qəbul həddi tərpəndi və prosesin sonra etdiyi hər şey yeni sərhədi miras alır. Eyni sətri bütün mühitdəki hər profilə köçürməzdən əvvəl bunu başa düşməyə dəyər.

Hansı kitabxana və hansı siyasətin qüvvədə olduğunu müəyyənləşdirin

SECLEVEL OpenSSL anlayışıdır, ona görə ilk sual qurğunuzun ümumiyyətlə OpenSSL istifadə edib-etmədiyidir. OpenVPN birdən çox kriptoqrafiya kitabxanasına bağlana bilər və onlardan birinə aid parametr digərləri üçün mənasızdır. İkili fayldan nə ilə qurulduğunu soruşun, sonra kitabxanadan hansı versiya və konfiqurasiyanı yüklədiyini soruşun:

openvpn --version | head -3
openssl version -a

Versiya çıxışını diqqətlə oxuyun, çünki distributivlər defoltları yamaqlayır. Bəziləri minimum səviyyəni yuxarı axının defoltundan yuxarı qaldıran sistem konfiqurasiyası göndərir, buna görə eyni profil eyni OpenVPN paketləri olan iki maşında fərqli davranır. Effektiv siyasət işləyən prosesin yüklədiyi siyasətdir, yuxarı axın təlimatındakı deyil.

Sonra insanların qarışdırdığı iki qatı ayırın. OpenVPN-in öz TLS nəzarətləri var, o cümlədən sertifikat profili parametri və açıq şifrə siyahıları, və bunlar kitabxananın tətbiq etdiyi hər şeyin üstündə durur. Kitabxana səviyyəsini aşağı salmaq OpenVPN konfiqurasiyanızın hansı şifrələri siyahıya aldığını dəyişmir, OpenVPN siyahısını daraltmaq isə kitabxananın həddini qaldırmır. Hansı qatın sizi rədd etdiyini bilmək düzəlişin təxmin olaraq qalmamasını təmin edir.

Rədd edilə bilən üç şeyi ayırın

Birinci namizəd kimlik materialıdır: açarı çox kiçik olan və ya imza alqoritmi siyasət tərəfindən artıq qəbul edilməyən sertifikat. İkincisi açar mübadiləsi parametridir, məsələn siyasətin çox zəif hesab etdiyi qrup. Üçüncüsü siyasətin istisna etdiyi şifrə dəstidir. Üçü də əl sıxma uğursuzluğu yarada bilər və onları yalnız xəta mətni ilə danışıq mərhələsi fərqləndirir.

Bunların heç biri məlumat kanalının şifrəsi deyil. OpenVPN tunel şifrələməsini TLS əl sıxmasından ayrı danışır, ona görə təhlükəsizlik səviyyəsi dəyişdikdən sonra uğurlu olan bağlantı yükünüzü hansı şifrənin qoruduğu barədə heç nə demir. Əgər həqiqətən soruşduğunuz sual məlumatların məxfiliyidirsə, tamamilə yanlış düyməyə baxırsınız.

Səviyyəni aşağı salmaq üç girişin hamısı üçün qəbulu eyni vaxtda genişləndirir. İnsanların qaçırdığı hissə budur: köhnə sertifikatı qəbul edən düzəliş həm də zəif qrupu və bəlkə də icazə vermək istəmədiyiniz dəsti qəbul edir. Dəyişikliyə bir xəta səbəb oldu və dəyişiklik xətadan daha genişdir. Bu asimmetriya məhdud istisnanın bütün mühit üçün defoltdan üstün olmasının səbəbidir.

Girişi dəyişin, həddi yox

Konfiqurasiyaya toxunmazdan əvvəl dəqiq xətanı saxlayın, o cümlədən onu bildirən mərhələni və adlandırdığı obyekti. Sertifikat problemi, sertifikatı cari siyasətin qəbul etdiyi bir şeylə əvəz etməklə həll olunur, bu da adətən eyni faylı yenidən quraşdırmaq əvəzinə onu orqandan yenidən vermək deməkdir.

Rədd edilən giriş nəzarət etmədiyiniz həmyerlisinə aiddirsə, söhbət həmin həmyerləşinin sahibi ilə dəstəklənən əvəzedici material barədədir. Heç kimin saxlamadığı sistemi yerləşdirmək üçün öz həddinizi aşağı salmaq xərci onlardan sonra qoşulan hər kəsə keçirir.

Server siyasəti tətbiq etdiyi yerdə, kitabxananı günahlandırmazdan əvvəl OpenVPN səviyyəsindəki parametrin həqiqi səbəb olub-olmadığını yoxlayın. Yerləşdirilmiş sertifikatın təmin edə biləcəyindən daha sərt sinif tələb edən sertifikat profili təhlükəsizlik səviyyəsi nə olursa olsun uğursuz olacaq və bu profili silmək kitabxana yoxlamalarını söndürməkdən daha dar dəyişiklikdir.

Onu mütləq aşağı salmalısınızsa, əhatəsini məhdudlaşdırın və qeyd edin

Bəzən təsdiqlənmiş uyğunluq istisnası düzgün cavab olur, xüsusən tarixli çıxarılma planı olan köhnə həmyerlisi üçün. Onu bütün hosta deyil, ehtiyac duyan xidmətə məhdudlaşdırın: xidmətə xas konfiqurasiya faylı və ya xüsusi OpenSSL konfiqurasiyası qlobal profildə ixracdan daha kiçik təsir radiusuna malikdir.

İstisna ilə dörd şeyi yazın: dəqiq parametr, onu təsdiqləyən sahib, təsirlənən müştərilər və çıxarılma şərti. Çıxarılma şərti olmayan istisna müvəqqəti əsaslandırma ilə birlikdə daimi zəifləmədir.

Geri qaytarma artıq sınaqdan keçirdiyiniz tək addım olmalıdır. Əvvəlki konfiqurasiyanı saxlayın, dəyişikliyi tətbiq edin, xidmətin başladığını təsdiqləyin və növbəti bağlantı gözlənildiyindən fərqli davranarsa hansı faylı bərpa edəcəyinizi dəqiq bilin.

Sonra kimliyi və qorumu yoxlayın

Uğurlu bağlantı yalnız yenidən baxılmış şərtlərin ona icazə verdiyini sübut edir. Host adı və həmyerləşi yoxlamasının hələ də işini gördüyünü, istifadə olunan sertifikatın yerləşdirmək istədiyiniz sertifikat olduğunu və danışılmış məlumat kanalının sahib olduğunuzu düşündüyünüz siyasətə uyğun olduğunu təsdiqləyin.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL təhlükəsizlik səviyyəsi arayışı çərçivənin açarlar, imzalar, qruplar və dəstlər üzrə hədləri birlikdə tətbiq etdiyini və sıfır səviyyəsinin geri çağırışın yoxladığı hər şeyə icazə verdiyini açıq deyir. Dəyişdiyiniz şeyin əhatəsi budur və düzəlişin dar olub-olmadığını soruşan kimsəyə sitat gətiriləcək cümlə budur.

Auditdən keçən təhvil hansı siyasətin hansı girişi rədd etdiyini, nəyin dəyişdirildiyini və nəticədə nəyin qəbul olunmağa davam etdiyini deyir. “SECLEVEL=0 ilə işləyir” bir bağlantı haqqında müşahidədir, yerləşdirmənin təhlükəsizlik qiymətləndirməsi deyil.