Mae un cymar hŷn yn gorfodi TLS 1.0: cwmpaswch yr eithriad, nid y gwesteiwr

Daw un ddyfais hŷn i'r golwg, methu â chysylltu, a'r atgyweiriad cyflymaf yr olwg yw gwanhau'r gwesteiwr cyfan nes bod y cysylltiad yn llwyddo. Mae'r cyfnewid hwnnw'n anweledig ar y pryd ac yn barhaol yn ymarferol, oherwydd nid oes neb yn tynnu isafswm sy'n gweithio o'r diwedd. Mae dau fai gwahanol iawn yn creu'r pwysau, a dim ond un ohonynt sydd o gwbl yn ymwneud â seiffrau. Trefnwch y bai yn gyntaf, yna rhowch yr eithriad yn rhywle na all ledaenu ohono.

Rhannwch y methiant yn ddau cyn golygu cyfarwyddeb

Daw llinell yn nyddiadur y gweinydd am ddim seiffer a rennir, neu am fersiwn protocol heb ei chefnogi, o'r sianel reoli: ni allai'r ddwy ochr gytuno sut i ddiogelu'r trafodaeth ei hun. Daw llinell y cleient sy'n dweud nad oes dull gwirio tystysgrif gweinydd wedi'i alluogi o rywle arall yn gyfan gwbl, oherwydd nid yw'r cleient hwnnw'n gwirio pwy atebodd o gwbl. Nid yw newid seiffer data yn gwneud dim i'r ail achos, ac nid yw ychwanegu gwiriad rôl yn gwneud dim i'r cyntaf.

Cymerwch y llinell fethu gynharaf o bob ochr yn hytrach na'r llinell olaf cyn y datgysylltiad, oherwydd yr olaf fel arfer yw canlyniad. Yna sefwch pa ffeil y gwnaeth y cleient ei hagor mewn gwirionedd: mae proffil a fewnforiwyd yn aml yn bodoli ddwywaith o dan enwau arddangos gwahanol, ac mae golygu'r copi nad oes neb yn ei ddarllen yn cynhyrchu dim-newid credadwy. Mae proses sy'n rhedeg yn cadw'r gosodiadau y dechreuodd â hwy, felly nid yw ffeil a gadwyd yn ffeil a lwythwyd. Mae'r gorchmynion isod yn dangos trafodaeth y cleient ochr yn ochr â golygfa'r gweinydd o'r un ymgais.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Ail wrandawr yw'r lle gonest ar gyfer isafswm gwannach

Pan fydd y ddyfais yn stopio ar TLS 1.0 gyda sianel ddata cyn 2.5, rhaid i'r gweinydd gynnig isafswm sianel reoli is a seiffer data y mae'r hen gleient yn ei adnabod. Mae cyfarwyddeb y cwymp yn bodoli ar gyfer y cymar hwnnw'n union, tra bod y rhestr seiffrau'n cadw cleientiaid modern ar setiau modern. Mae'r ddwy gyfarwyddeb yn perthyn i'r gwrandawr yn hytrach nag i ddefnyddiwr neu gysylltiad, ac nid oes unrhyw opsiwn fesul cleient yn eu culhau wedyn. Dyna pam mae un hen ddyfais ar y prif borth yn benderfyniad am bob cymar sy'n ei rannu.

Lle mae'r platfform yn caniatáu, rhedwch yr hen wrandawr fel ei enghraifft ei hun ar borth ar wahân, caniatéwch y porth hwnnw o gyfeiriad y ddyfais yn unig, a gadewch y prif wasanaeth yn llonydd. Nodwch pam mae'r ail wrandawr yn bodoli, yn y ffeil sy'n cario ei ffurfweddiad, oherwydd bydd glanhau yn y dyfodol fel arall yn ei ddarllen fel sbwriel dros ben. Dim ond os yw'r isafswm gwannach yn gorffen lle mae'r ddyfais yn gorffen y mae'r rhaniad yn werth chweil.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Beth mae hen dystysgrif darparwr yn ei dorri mewn gwirionedd

Y camgymeriad gwirio yw rhwymiad rôl ar goll: hebddo bydd y cleient yn derbyn unrhyw dystysgrif sy'n cadwyno at CA ymddiriedus, p'un a gyhoeddwyd y dystysgrif honno ar gyfer gweinydd ai peidio. Rhwymwch y dystysgrif i rôl y gweinydd yn gyntaf, a thriniwch y rhwymiad fel gofyniad yn hytrach na chnob tiwnio. Dim ond proffil sy'n methu o hyd ar ôl y cam hwnnw sydd â phroblem dystysgrif wirioneddol.

Hen dystysgrif darparwr y mae ei maint allwedd neu ei halgorithm llofnod bellach yn methu â bodloni polisi rhagosodedig OpenSSL yw'r achos dros newid lefel diogelwch â chwmpas ar y sianel reoli. Nid yw gostwng y lefel yno yn diffodd y gwirio, ac ni ddylid ei gyfuno byth â CA gwag, gosodiad gwirio wedi'i analluogi neu enw gwesteiwr heb ei wirio. Cadwch y llinell o fewn yr un proffil sydd ei angen; byddai allforio ffurfweddiad OpenSSL llaciedig yn fyd-eang yn rhoi'r un llaciad i bob rhaglen ar y peiriant.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Darllenwch y gwerthoedd a drafodwyd, nid y baner

Ar lefel manylder 4 mae'r ddwy ochr yn argraffu fersiwn TLS a seiffer y sianel reoli y cytunwyd arnynt, a seiffer data'r sesiwn. Darllenwch y llinellau hynny yn hytrach na'r baner gychwynnol, sy'n adrodd llwyddiant ac nid ei amodau. Yna ailgysylltwch gleient modern i'r prif wrandawr a chadarnhewch ei fod yn dal i lanio ar set fodern, oherwydd mae eithriad sydd wedi gollwng i ffurfweddiad a rennir yn ymddangos yma gyntaf. Daw'r gwerthoedd a gopïwch yn llinell sylfaen ar gyfer yr adolygiad nesaf.

Profwch yr hen ddyfais ar ei phen ei hun: dylai gysylltu, a dylai fod yr unig sesiwn yn y cofnodion sy'n dangos y paramedrau gwannach. Os yw ail gymar hefyd yn trafod yr hen set, mae'r eithriad yn changach na'r bwriad ac ni chafodd rhaniad y gwrandawr ei wireddu. Cofnodwch y ddau arsylwi yn hytrach na'r casgliad yn unig.

Mae angen perchennog a dyddiad ar bob eithriad

Mae eithriad heb amod tynnu yn dawel yn dod yn rhagosodiad, felly rhoddwch y ddyfais, y perchennog, y rheswm a'r dyddiad y bydd yn diflannu wrth ymyl y ffurfweddiad mae'n ei gyfiawnhau. Heb y llinell honno mae'r isafswm gwannach yn goroesi'r caledwedd oedd ei angen.

Disodli'r cleient, neu ofyn i'r darparwr am broffil cyfredol, yw'r canlyniad i anelu ato; mae'r eithriad yn oediad ac nid yn ddyluniad. Pan fydd y ddyfais yn ymddeol, tynnwch y gwrandawr a'r proffil yn yr un newid fel na fydd y naill hanner na'r llall yn dal i redeg. Nid oes dim o hyn yn gwneud yr hen baramedrau'n ddiogel, dim ond yn cadw terfyn un ddyfais rhag dod yn sylfaen i bawb.