Anogwr allwedd OpenVPN ar ôl OpenSSL 3: gwiriwch y darparwr

Nid oes neb wedi cyffwrdd â’r proffil, ac eto mae’r un cleient nawr yn gofyn am gyfrinymadrodd allwedd breifat bob tro y bydd yn cychwyn. Pan fydd y newid hwnnw’n digwydd o fewn dyddiau i uwchraddiad dosbarthiad, yr uwchraddiad yw’r achos tebygol: fe wnaeth OpenSSL 3 ail-drefnu ei gefnogaeth algorithmau, a gall allwedd a ddarllenwyd yn hawdd gan yr hen lyfrgell ddod yn annarllenadwy heb i unrhyw beit newid. Gweithiwch trwy’r gwiriadau yn eu trefn, oherwydd mae dau ohonynt yn edrych yn union yr un fath o’r anogwr yn unig.

Y cwestiwn cyntaf yw a yw’r allwedd wedi’i hamgryptio, a’r ail yw a all y build hwn ei dadgryptio. Dim ond ar ôl gwybod y ddwy ateb y mae newidiadau cyfluniad yn gwneud synnwyr.

Gwiriwch a yw’r allwedd wedi’i hamgryptio

Darllenwch linell gyntaf y ffeil ac yna gadewch i’r llyfrgell ei pharso, oherwydd nid yw enw ffeil yn profi dim. Mae bloc PEM wedi’i labelu ENCRYPTED PRIVATE KEY yn PKCS#8 amgryptiedig, ac mae bloc RSA PRIVATE KEY hŷn sy’n cario Proc-Type: 4,ENCRYPTED yw’r ffurf draddodiadol, ac mae’r ddau yn disgwyl cyfrinymadrodd. Ni ddylai bloc PRIVATE KEY heb ei amgryptio ofyn am un o gwbl. Rhedewch y parsiad fel y cyfrif sy’n berchen ar y ffeil, oherwydd mae problem caniatâd yn cynhyrchu gwall gwahanol a llawer llai diddorol.

Os yw’r allwedd wirioneddol heb ei hamgryptio ac mae’r cleient yn dal i ofyn, stopiwch edrych ar gryptograffeg a gwiriwch a yw’r proffil yn enwi ffeil askpass y gall y gwasanaeth ei darllen o hyd.

Gwiriwch a all y build hwn ei dadgryptio

Fe wnaeth OpenSSL 3 rannu ei gefnogaeth algorithmau’n ddarparwyr, ac mae set o seiffrau hŷn nawr yn eistedd yn y darparwr legacy yn hytrach na’r un diofyn. Mae allwedd a amgryptiwyd ag un o’r seiffrau hynny’n parhau’n ddilys, ond ni all llyfrgell a lwythwyd heb y darparwr legacy ei dadgodio. Ar rai cleientiaid mae hynny’n ymddangos fel anogwr sy’n ailadrodd, ar eraill fel methiant caled yn syth ar ôl y cyfrinymadrodd.

Parswch yr un allwedd ddwywaith gyda’r un deuaidd: yn gyntaf gyda’r darparwr diofyn yn unig, yna gyda legacy a diofyn ill dau yn cael eu gofyn ar y llinell orchymyn. Os yw’r ail gynnig yn llwyddo lle methodd y cyntaf, mae’r diagnosis yn seiliedig ar dystiolaeth yn hytrach nag ar amseriad uwchraddiad. Os bydd y ddau yn methu yn union yr un fath, mae’r cyfrinymadrodd yn anghywir neu mae’r ffeil wedi’i difrodi, ac nid oes unrhyw osodiad darparwr yn trwsio’r naill na’r llall.

Gwiriwch yr atgyweiriad culaf sydd ar gael

Mae’n well gennych newid wedi’i gwmpasu i’r cleient na newid system-gyfan. Mae rhai buildiau 2.6 yn derbyn opsiwn proffil sy’n llwytho’r ddau ddarparwr ar gyfer proses y daemon hwnnw, felly cadarnhewch y gyfarwyddeb yn y llawlyfr ar gyfer eich union fersiwn cyn dibynnu arni; mae golygu’r openssl.cnf system yn lle hynny yn effeithio ar bob rhaglen OpenSSL ar y gwesteiwr. Mae’r gosodiad culach hefyd yn llawer haws ei wrthdroi unwaith y bydd yr allwedd wedi’i hailgodio.

Peidiwch â dileu’r cyfrinymadrodd i wneud i’r anogwr ddiflannu. Mae hynny’n troi manylyn mewngofnodi gwarchodedig yn ffeil testun plaen ac yn newid yn dawel risg pob copi wrth gefn, copi a bwndel cymorth y mae’n ymddangos ynddynt. Y gwahaniaeth sy’n bwysig yw rhwng allwedd sydd angen ei chyfrinymadrodd ac allwedd na all y llyfrgell hon ei dadgodio.

Gwiriwch gyd-destun y gwasanaeth, yna ailgodiwch

Unwaith y gellir datgloi’r allwedd, ailamgryptiwch hi ag algorithm cyfoes fel bod y dibyniaeth yn diflannu. Ysgrifennwch y ffeil newydd â seiffr fodern, gwiriwch ei bod yn parso, diweddarwch y proffil, a chadwch yr hen gopi dim ond nes bod cysylltiad yn llwyddo. Peidiwch byth â rhoi’r cyfrinymadrodd mewn llinell orchymyn, lle gall unrhyw ddefnyddiwr lleol ei ddarllen o’r rhestr prosesau. Tynnwch yr hen ffeil yn unig ar ôl i’r un newydd gysylltu o’r cyfrif gwasanaeth, nid o’ch shell yn unig.

Yna gwiriwch yr uned sy’n rhedeg y cleient mewn gwirionedd. Gall allwedd sy’n ddarllenadwy yn eich shell fod yn annarllenadwy i wasanaeth sy’n rhedeg o dan gyfrif gwahanol neu â gosodiad cyfeiriadur cartref caled.

Cofnodwch osodiad y darparwr wrth ymyl y proffil a chadwch y prawf dau orchymyn gydag ef. Pan fydd uwchraddiad diweddarach yn gollwng y darparwr legacy, rhedewch y prawf hwnnw eto i weld a oes ar yr allwedd ei angen o hyd neu a ellir tynnu’r proffil o’r ateb dros dro.

Mae anogwr yn symptom ag o leiaf dri achos, a dim ond un ohonynt yw cyfrinymadrodd ar goll.