OpenVPN gakoaren eskaera OpenSSL 3ren ondoren: egiaztatu hornitzailea
Gako pribatuaren bat-bateko eskaerak hornitzailearen aldaketa izaten du atzetik sarritan, ez pasahitz berria. Aztertu gakoa, probatu hornitzaile multzo biak eta gorde pasaesaldia.
Inork ez du profila ukitu, eta hala ere bezero berak pasaesaldi bat eskatzen du gako pribaturako abiatzen den bakoitzean. Aldaketa hori banaketaren eguneraketa baten ondorengo egunetan gertatzen denean, eguneraketa da ziurrenik arrazoia: OpenSSL 3k algoritmoen euskarria berrantolatu zuen, eta liburutegi zaharrak arazorik gabe irakurtzen zuen gako bat irakurtezin bihur daiteke byte bat ere aldatu gabe. Egin egiaztapenak hurrenez hurren, haietako bik berdinak diruditelako eskaerari soilik begiratuta.
Lehen galdera gakoa zifratuta dagoen ala ez da, eta bigarrena build honek deszifra dezakeen ala ez. Konfigurazioko aldaketek zentzua dute bi erantzunak ezagutu ondoren soilik.
Egiaztatu gakoa zifratuta dagoen
Irakurri fitxategiaren lehen lerroa eta ondoren utzi liburutegiari hura analizatzen, fitxategi-izen batek ezer frogatzen ez duelako. Etiketa duen PEM bloke bat ENCRYPTED PRIVATE KEY PKCS#8 zifratua da, eta zaharragoa den RSA PRIVATE KEY bloke bat, Proc-Type: 4,ENCRYPTED daramana, forma tradizionala da, eta biek pasaesaldi bat espero dute. Zifratu gabeko PRIVATE KEY bloke batek ez luke bat ere eskatu behar. Exekutatu analisia fitxategia duen kontuarekin, baimen arazo batek beste errore desberdin eta askoz interesgutxiago bat sortzen duelako.
Gakoa benetan zifratu gabe badago eta bezeroak oraindik galdetzen badu, utzi kriptografiari begiratzeari eta egiaztatu profilean zerbitzuak oraindik irakur dezakeen askpass fitxategiren bat aipatzen ote duen.
Egiaztatu build honek hura deszifra dezakeen
OpenSSL 3k algoritmoen euskarria hornitzaileetan banatu zuen, eta zifratze zahar batzuen multzoa legacy hornitzailean dago orain, lehenetsian beharrean. Zifratze horietako batekin zifratutako gakoa baliozkoa da oraindik, baina legacy hornitzailerik gabe kargatutako liburutegiak ezin du deskodetu. Bezero batzuetan errepikatzen den eskaera gisa agertzen da, besteetan pasaesaldiaren ondorengo hutsegite gogor gisa.
Analizatu gako bera bi aldiz binario berarekin: lehenik hornitzaile lehenetsiarekin soilik, gero legacy eta lehenetsia biak komando lerroan eskatuta. Bigarren saiakerak lehenengoak huts egin zuen tokian arrakasta lortzen badu, diagnostikoa frogantzetan oinarritzen da, ez eguneraketaren unean. Biak berdin huts egiten badute, pasaesaldia oker dago edo fitxategia hondatuta dago, eta hornitzaile ezarpen batek ere ez du bietako ezer konpontzen.
Egiaztatu eskuragarri dagoen konponbiderik estuena
Hobetsi bezeroari mugatutako aldaketa bat sistemako baten aldean. 2.6 build batzuek profil aukera bat onartzen dute, daemon horren prozesurako bi hornitzaileak kargatzen dituena, beraz egiaztatu direktiba zure bertsio zehatzeko eskuliburuan hartan oinarritu aurretik; sistemako openssl.cnf editatzeak ostalarian dagoen OpenSSL programa guztiei eragiten die, ordea. Ezarpen estuena askoz errazagoa da atzera botatzen gakoa berriz kodetu ondoren.
Ez ezabatu pasaesaldia eskaera desagertu dadin. Horrek kredentzial babestu bat testu arrunteko fitxategi bihurtzen du eta isilean aldatzen du agertzen den segurtasun-kopia, kopia eta laguntza pakete bakoitzaren arriskua. Axola duen bereizketa pasaesaldia behar duen gako baten eta liburutegi honek deskodetu ezin dezakeen gako baten artekoa da.
Egiaztatu zerbitzuaren testuingurua, eta gero berriz kodetu
Gakoa desblokeatu ahal denean, zifratu berriro egungo algoritmo batekin mendekotasuna desagertu dadin. Idatzi fitxategi berria zifratze moderno batekin, egiaztatu analizatzen dela, eguneratu profila, eta gorde kopia zaharra konexio batek arrakasta lortu arte soilik. Ez jarri inoiz pasaesaldia komando lerroan, non edozein tokiko erabiltzailek prozesuen zerrendatik irakur baitezake. Kendu fitxategi zaharra berria zerbitzu kontutik konektatu ondoren soilik, ez zure shell-etik bakarrik.
Ondoren egiaztatu bezeroa benetan exekutatzen duen unitatea. Zure shell-ean irakurgarri den gako bat irakurtezin gerta dakioke beste kontu baten pean edo hasierako direktorioaren ezarpen gogortu batekin dabilen zerbitzu bati.
Idatzi hornitzailearen ezarpena profileko ondoan eta eduki bi komandoko proba harekin. Geroagoko eguneraketa batek legacy hornitzailea kentzen duenean, exekutatu berriro proba hori ikusteko gakoak oraindik behar duen edo profila aldi baterako konponbidetik atera daitekeen.
Eskaera bat gutxienez hiru arrazoi dituen sintoma bat da, eta horietako bat bakarra da falta den pasaesaldia.