SSTP a SSL 3.0: y label yn erbyn y fersiwn a drafodir

Gall dau berson edrych ar yr un defnydd o SSTP a chyrraedd casgliadau cyferbyniol. Mae un yn darllen dogfennaeth y cynnyrch, yn gweld y llythrennau SSL ac yn tybio bod y twnnel yn rhedeg protocol a gafodd ei dynnu'n ôl flynyddoedd yn ôl. Mae'r llall yn pwyntio at ysgydwad llaw modern ac yn dod i'r casgliad bod y cwestiwn ar gau. Mae'r ddau yn dadlau o labeli yn hytrach nag o'r fersiwn a drafodir, a dim ond un o'r rheini sy'n dystiolaeth. Y gymhariaeth sy'n werth ei gwneud yw rhwng yr hyn y mae'r enw'n ei addo a'r hyn y mae'r gwasanaeth yn ei ddewis mewn gwirionedd.

Dau ateb i'r un cwestiwn

Mae'r ddadl label yn hawdd ei datgan: disgrifir SSTP fel protocol twnelu diogel dros socedi, mae'r enw hanesyddol yn dweud SSL, felly rhaid i'r cysylltiad fod yn SSL 3.0. Mae'n para oherwydd bod yr enw wir yn dod o'r llinell honno ac oherwydd nad yw'r rhan fwyaf o'r rhai sy'n ei ailadrodd erioed wedi edrych ar ysgydwad llaw. Mae'n para hefyd oherwydd bod y casgliad yn swnio'n ofalus, fel petai tybio'r gwaethaf yn ddewis diogel. Mae tybio'r gwaethaf a mesur y fersiwn wirioneddol yn ddau weithgaredd gwahanol, a dim ond un ohonynt sy'n newid unrhyw beth.

Mae'r ddadl dystiolaeth yn gofyn cwestiwn culach. Ar ba fersiwn o'r protocol y cytunodd y cleient hwn a'r gweinydd hwn, ar y pwynt diwedd hwn, ar yr adeg hon? Daw'r ateb o'r gwasanaeth sy'n terfynu TLS, nid o dudalen farchnata nac o borwr a gyrhaeddodd safle ag enw tebyg.

Mae'r ddwy ddadl yn wahanol yn yr hyn y gallant ei brofi. Ni all y label wahaniaethu rhwng defnydd hen a defnydd wedi'i glytio, ac ni all yr ysgydwad llaw ddweud wrthych beth mae gwasanaeth heb berthynas yn ei wneud ar yr un gwesteiwr. Defnyddiwch yr ail a rhowch y gorau i ddefnyddio'r cyntaf.

Darllenwch y fersiwn y mae'r gwasanaeth yn ei dewis mewn gwirionedd

Dechreuwch drwy enwi'r cydrannau: gweithrediad y cleient, gweithrediad y gweinydd, y pwynt diwedd TLS a phopeth rhyngddynt sy'n terfynu ac yn ailsefydlu TLS. Mae cydbwyso llwyth sy'n terfynu TLS ac yn siarad HTTP plaen â'r cefn yn newid pa ddyfais y mae'n rhaid i chi ddarllen ei pholisi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Cofnodwch y pwynt diwedd a'r amser wrth ymyl y canlyniad, oherwydd mae newid polisi yn ddiweddarach yn gwneud arsylwi heb ddyddiad yn ddiwerth. Ailadroddwch y prawf o gleient ar yr un llwybr rhwydwaith â'r defnyddwyr sy'n bwysig i chi, gan y gall dyfais ryng-gipio derfynu TLS â'i gosodiadau ei hun. Os nad yw'r ddau safbwynt yn cytuno, rydych wedi dod o hyd i'r gydran sy'n bwysig. Os ydynt yn cytuno, mae gennych dystiolaeth yn hytrach na slogan.

Gwahanwch faes y cofnod oddi wrth y trafodaethau

Nid yw rhif fersiwn sy'n edrych yn hen yn un maes yr un ffaith â sesiwn SSL 3.0. Mae RFC 7568 yn trin fersiwn haen y cofnod a'r protocol a drafodir fel materion ar wahân, ac o'r gwahaniaeth hwnnw'n union y daw atebion anghywir hunanfeddiannol. Darllenwch y protocol a drafodir, yna'r seiffr, ac yna'n unig tynnwch gasgliad am y sesiwn.

Mae'r un ddogfen yn ddi-amwys am y protocol ei hun: ni ddylid defnyddio SSL 3.0, ac mae trafod neu ddychwelyd iddo wedi'i wahardd. Y rheswm yw'r adeiladwaith CBC toredig a gamfanteisiwyd gan ymosodiad POODLE, ac mae hynny'n briodwedd o'r protocol, nid cyfluniad un cymhwysiad.

Dyna pam nad yw „mae'n debyg bod y llwyth gwaith hwn yn anodd ei gamfanteisio” yn ddadl dros gadw SSL 3.0 yn alluog. Y gofyniad yw tynnu'r protocol, nid ennill dadl am un arddangosiad.

Tynnwch SSL 3.0 yn ôl gyda pholisi y gallwch sefyll drosto

Yn Windows mae gosodiadau protocol Schannel o dan yr allwedd Protocols ac yn cael eu darllen ar wahân ar gyfer rôl cleient a rôl gweinydd, a dyna pam y gall newid sy'n trwsio un cyfeiriad adael y llall heb ei gyffwrdd. Mae Microsoft yn dogfennu'r gosodiadau presennol a'u gofynion ailgychwyn, ac mae llyfrgell TLS trydydd parti ar yr un gwesteiwr yn eu hanwybyddu'n llwyr.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Newidiwch y polisi drwy'r llwybr gweinyddu a gefnogir, cadarnhewch fod y gwasanaeth perchennog yn ailgaffael ei gyfluniad, a chadwch ffordd ôl a gymeradwywyd. Mae pastio sgript gofrestr eang o amgylchedd arall yn ffordd o droi trwsio un gwasanaeth yn argyfwng i bob cleient TLS ar y peiriant. Mae cwmpas yr ailgychwyn yn bwysig yma: gall gosodiad sy'n edrych fel pe bai wedi'i gymhwyso fod yn dal yn y cof gan wasanaeth nad yw wedi'i ail-lwytho.

Mae partner sy'n dal i fynnu fersiwn darfodedig angen diweddariad neu gynllun mudo. Nid yw eithriad heb ei ddogfennu sy'n adfer yr hen brotocol yn dawel yn strategaeth gydnawsedd, ac ni fydd yn goroesi'r archwiliad nesaf.

Derbyniwch y newid gyda chysylltiadau newydd

Profwch gyda sesiynau newydd ar ôl y newid polisi, oherwydd nid yw cysylltiad a sefydlwyd cyn y newid yn profi unrhyw beth am y cyfluniad sydd mewn grym nawr. Cadarnhewch fod y protocol a ganiateir yn llwyddo a bod yr un gwaharddedig yn methu drwy'r broses dilysu awdurdodedig, yna gadewch hunaniaeth y dystysgrif a'r gwiriadau ymddiriedaeth yn union fel yr oeddent.

Cofiwch beth nad yw'r ysgydwad llaw yn ei gwmpasu. Mae SSTP yn cario dilysu PPP ar ôl haen TLS, felly nid yw fersiwn protocol modern yn dweud unrhyw beth am ba ddefnyddiwr a awdurdodwyd nac i ba adnoddau y gall y sesiwn gyrraedd. Rheolaethau ar wahân yw'r rheini gyda thystiolaeth ar wahân.

Ysgrifennwch y canlyniad fel gwasanaeth, cefn, polisi a ganiateir a fersiwn a arsylwyd. Mae cofnod o'r fath yn ateb y cwestiwn diogelwch yn fanwl gywir, rhywbeth nad yw'r ddadl label na dadl anghyfleustra byth yn ei wneud.