Mae SECLEVEL=0 yn gwella'r symptom, nid y dystysgrif

Mae cysylltiad OpenVPN yn methu, mae rhywun yn dod o hyd i atgyweiriad un llinell sy'n ychwanegu SECLEVEL=0, ac mae'r twnnel yn codi. Nid y dystysgrif na'r pecyn seiffr a newidiodd; symudodd trothwy derbyn ar draws y llyfrgell, ac mae popeth y mae'r broses yn ei wneud wedyn yn etifeddu'r ffin newydd. Mae'n werth deall hynny cyn i'r un llinell gael ei chopïo i bob proffil ar yr amgylchedd.

Nodwch pa lyfrgell a pha bolisi sydd mewn grym

Cysyniad OpenSSL yw SECLEVEL, felly'r cwestiwn cyntaf yw a yw eich adeiladwaith yn defnyddio OpenSSL o gwbl. Gall OpenVPN gael ei gysylltu â mwy nag un llyfrgell grifftograffeg, ac mae gosodiad sy'n berthnasol i un ohonynt yn ddiystyr i'r lleill. Gofynnwch i'r deuaidd â beth y cafodd ei adeiladu, yna gofynnwch i'r llyfrgell pa fersiwn a chyfluniad a lwythodd:

openvpn --version | head -3
openssl version -a

Darllenwch allbwn y fersiwn yn ofalus, oherwydd mae dosbarthiadau yn clytio rhagosodiadau. Mae rhai yn cludo cyfluniad system sy'n codi'r lefel isaf uwchlaw rhagosodiad upstream, a dyna pam mae'r un proffil yn ymddwyn yn wahanol ar ddwy beiriant â phecynnau OpenVPN unfath. Y polisi effeithiol yw'r un a lwythwyd gan y broses sy'n rhedeg, nid yr un yn llawlyfr upstream.

Yna gwahanwch y ddwy haen y mae pobl yn eu cymysgu. Mae gan OpenVPN ei reolaethau TLS ei hun, gan gynnwys gosodiad proffil tystysgrif a rhestrau seiffr penodol, ac maent yn sefyll uwchlaw popeth y mae'r llyfrgell yn ei orfodi. Nid yw gostwng lefel y llyfrgell yn newid pa seiffrau y mae eich cyfluniad OpenVPN yn eu rhestru, ac nid yw culhau'r rhestr OpenVPN yn codi trothwy'r llyfrgell. Gwybod pa haen a'ch gwrthododd yw'r hyn sy'n cadw'r atgyweiriad rhag bod yn ddyfaliad.

Gwahanwch y tri pheth y gellir eu gwrthod

Y cyntaf yw deunydd hunaniaeth: tystysgrif y mae ei hallwedd yn rhy fach neu y mae'r polisi bellach yn gwrthod ei halgorithm llofnod. Yr ail yw paramedr cyfnewid allweddi, fel grŵp y mae'r polisi'n ei ystyried yn rhy wan. Y trydydd yw pecyn seiffr y mae'r polisi'n ei eithrio. Gall y tri achosi methiant handshake, a dim ond testun y gwall a'r cam negodi sy'n eu gwahaniaethu.

Nid oes yr un o'r tri yn seiffr y sianel ddata. Mae OpenVPN yn negodi ei amgryptiad twnnel ar wahân i handshake TLS, felly nid yw cysylltiad sy'n llwyddo ar ôl newid lefel diogelwch yn dweud dim am ba seiffr sy'n amddiffyn eich llwyth. Os yw'r cwestiwn rydych chi'n ei ofyn mewn gwirionedd yn ymwneud â chyfrinachedd data, rydych chi'n edrych ar y deial anghywir yn gyfan gwbl.

Mae gostwng y lefel yn ehangu derbyniad ar gyfer y tri mewnbwn ar unwaith. Dyma'r rhan y mae pobl yn ei cholli: mae'r atgyweiriad sy'n derbyn hen dystysgrif hefyd yn derbyn grŵp gwan a phecyn na fyddwch efallai wedi bwriadu ei ganiatáu. Fe wnaeth un gwall sbarduno'r newid, ac mae'r newid yn ehangach na'r gwall. Yr anghymesuredd hwnnw yw'r rheswm pam mae eithriad wedi'i gwmpasu'n well na rhagosodiad ar gyfer yr holl amgylchedd.

Newidiwch y mewnbwn, nid y trothwy

Cadwch y gwall union cyn cyffwrdd â'r cyfluniad, gan gynnwys y cam a'i hadroddodd a'r gwrthrych a enwodd. Datrysir problem tystysgrif drwy ddisodli'r dystysgrif â rhywbeth y mae'r polisi cyfredol yn ei dderbyn, sydd fel arfer yn golygu ei hailgyhoeddi gan yr awdurdod yn hytrach nag ailosod yr un ffeil.

Os yw'r mewnbwn a wrthodwyd yn perthyn i gyfoed nad ydych yn ei reoli, y sgwrs yw â pherchennog y cyfoed hwnnw am ddeunydd amnewid a gefnogir. Mae gostwng eich trothwy eich hun i ddarparu ar gyfer system nad oes neb yn ei chynnal yn trosglwyddo'r gost oddi wrthynt i bawb sy'n cysylltu ar eu hôl.

Lle mae'r gweinydd yn gorfodi'r polisi, gwiriwch ai gosodiad ar lefel OpenVPN yw'r gwir achos cyn beio'r llyfrgell. Bydd proffil tystysgrif sy'n gofyn am ddosbarth llymach nag y gall y dystysgrif a gyflwynwyd ei fodloni yn methu waeth beth fo'r lefel diogelwch, ac mae tynnu'r proffil hwnnw'n newid culach na diffodd gwiriadau'r llyfrgell.

Os rhaid ei gostwng, cwmpaswch ef a'i gofnodi

Weithiau eithriad cydnawsedd a gymeradwywyd yw'r ateb cywir, yn enwedig ar gyfer hen gyfoed â chynllun ymddeol dyddiedig. Cwmpaswch ef i'r gwasanaeth sydd ei angen yn hytrach na'r gwesteiwr cyfan: mae ffeil cyfluniad fesul gwasanaeth neu gyfluniad OpenSSL penodedig yn llai o gylch effaith nag allforiad yn y proffil byd-eang.

Ysgrifennwch bedwar peth gyda'r eithriad: y gosodiad union, y perchennog a'i cymeradwyodd, y cleientiaid y mae'n effeithio arnynt, a'r amod y caiff ei ddileu. Mae eithriad heb amod ymddeol yn gwanhau parhaol gyda chyfiawnhad dros dro ynghlwm.

Dylai'r adfer fod yn un cam rydych chi eisoes wedi'i brofi. Cadwch y cyfluniad blaenorol, cymhwyswch y newid, cadarnhewch fod y gwasanaeth yn cychwyn, a gwybod yn union pa ffeil i'w hadfer os bydd y cysylltiad nesaf yn ymddwyn yn wahanol i'r disgwyl.

Gwiriwch hunaniaeth ac amddiffyniad wedyn

Nid yw cysylltiad llwyddiannus ond yn profi bod yr amodau diwygiedig wedi'i dderbyn. Cadarnhewch fod gwiriad enw'r gwesteiwr a'r cyfoed yn dal i wneud eu gwaith, mai'r dystysgrif a ddefnyddir yw'r un roeddech yn bwriadu ei chyflwyno, a bod y sianel ddata a negodwyd yn cyfateb i'r polisi rydych chi'n credu sydd gennych.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Mae cyfeirlyfr lefelau diogelwch OpenSSL yn dweud yn glir bod y fframwaith yn gosod terfynau ar allweddi, llofnodion, grwpiau a phecynnau gyda'i gilydd, a bod lefel sero yn caniatáu popeth y mae'r galwad wrthgefn yn ei wirio. Dyna gwmpas yr hyn a newidiasoch, a dyna'r frawddeg i'w dyfynnu pan fydd rhywun yn gofyn a oedd yr atgyweiriad yn gul.

Mae'r trosglwyddiad sy'n goroesi archwiliad yn dweud pa bolisi a wrthododd pa fewnbwn, beth a newidiwyd, a beth sy'n parhau i gael ei dderbyn o ganlyniad. Mae „Mae'n gweithio gyda SECLEVEL=0“ yn sylw am un cysylltiad, nid asesiad diogelwch o'r defnydd.