AES-256-GCM ez da aurkitu: bezeroaren gaitasuna edo negoziazioa?

Beste leku batean funtzionatzen duen OpenVPN profilak AES-256-GCM aurkitzen ez dela edo pareek kifratze komunik ez dutela jakinarazten du, eta lehen bulkada profila aldatzea da. Bi mezu horiek huts egite desberdinak deskribatzen dituzte. Batek tokiko programak algoritmo hori ez duela dio; besteak bi muturrek algoritmoak badituztela baina ez dutela aukeraketa komunik. Profila aldatzeak ez du bat ere konpontzen, zein duzun jakin arte.

Irakurri errorearen testu zehatza eta hura sortu zuen programa.

Zehaztu zein errore duzun

Aurkitu ez den kifratzeari buruzko mezua tokiko makinan aukeren analisitik dator, paketerik bidali aurretik. Horrek esan nahi du zure aurrean dagoen exekutagarriak edo harekin lotzen den liburutegiak ez duela algoritmo hori eskaintzen. Kifratze komunik ez dagoelako mezua geroago iristen da, negoziazioan, eta bi aldeek kifratzeak onartzen dituztela baina batean ados jartzen ez direla esan nahi du.

Bereizketa garrantzitsua da, bat software bertsioaren arazoa delako eta bestea konfigurazioarena. Lehena bertsio zenbaki batek erabakitzen du. Bigarrena bi zerrenda alderatzeak erabakitzen du.

Tokiko gaitasun hutsunea

Komunitatearen bertsio zaharrak egungo balio lehenetsiak baino lehenagokoak dira, eta mahaigaineko aplikazio batek bere motor propioa ekar dezake, alboan instalatutako komando-lerroko paketetik desberdina. Egin egiaztapenak konexioa benetan abiarazi zuen exekutagarrian, eta gero hautatu onartutako bertsio bat programa zahar bati algoritmo berria irakatsi beharrean.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

AES-256-GCM zerrenda horretan agertzen ez bada, profil lerro batek ere ez du gehituko. Konponbidea bezero berriagoa edo beste bertsio bat da, eta alde zaharrenaren murrizketak diseinu galdera bereizi bihurtzen dira.

OpenVPN 3n oinarritutako bezeroetan motorra eta onartutako direktibak komunitatearen 2.x lerrotik desberdinak dira, beraz profil testu berak huts egin dezake kifratze zerrendarekin zerikusirik ez duten arrazoiengatik.

Negoziazio hutsunea

Bi pareek algoritmoa zerrendatzen dutenean, geratzen den galdera alde bakoitzak zein zerrenda eskaintzen duen da. Komunitateko OpenVPNk negoziazio direktibaren izena aldatu zuen: 2.4ko ncp-ciphers 2.5eko data-ciphers bihurtu zen, eta 2.6n cipher lerro zaharrak bateragarritasunari eta erreserba funtzioari egiten dio zerbitzu nagusiki, negoziatutako multzoa zehaztu beharrean.

Horregatik cipher lerro zahar bat soilik aldatzeak negoziazio zerrenda ukitu gabe utz dezake. Lerro zaharrak oraindik garrantzia du erreserbarako, eta hori lan bereizia da. Biak nahasteak ezer ikusgarririk aldatzen ez duten aldaketak sortzen ditu.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Alderatu bi muturren zerrendak eta zerbitzariaren ukatze mezua. Ebakidura hutsa bada, lerrokatu zerrendak nahita, beste bertsio baterako idatzitako artikulu bateko balioa kopiatu beharrean. Zerrenda zabegia denak konexio bakoitza isilean ahultzen du. Zerrenda estuagoak mantendu nahi zenuen parea kanpoan uzten du.

Mantendu bateragarritasuna esplizitu

Pare zahar batentzako erreserba kostua duen erabakia da: hedapen osoak aukera ahulagoa onartzen du gailu batek konektatu ahal izateko. Idatzi horrela, eta mugatu behar duen parera.

Bi baldintzak erabakitzen dute emaitza. Errorea tokikoa bada, ordezkatu bertsioa. Errorea negoziaziokoa bada, lerrokatu zerrendak bi muturretan eta idatzi zein bertsio onartzen dituzun.

Gero jakinarazi errore zehatza bertsioaren eta gaitasunaren irteerarekin batera. Bikote horrek falta den algoritmoa desadostasunetik bereizten du eta hurrengo aldaketa espekulatiboen txanda hasi aurretik gelditzen du.