SECLEVEL=0-ek sintoma sendatzen du, ez ziurtagiria

OpenVPN konexio batek huts egiten du, norbaitek SECLEVEL=0 gehitzen duen lerro bakarreko konponketa aurkitzen du, eta tunela altxatzen da. Aldatu zena ez zen ziurtagiria ez ezik zifratze-multzoa ere ez; liburutegi osoko onarpen-atalase bat mugitu zen, eta prozesuak geroago egiten duen guztiak muga berria heredatzen du. Hori ulertzea merezi du lerro bera inguruneko profil guztietan kopiatu aurretik.

Zehaztu zein liburutegi eta zein politika dauden indarrean

SECLEVEL OpenSSL-ren kontzeptua da, beraz lehen galdera zera da: zure eraikuntzak OpenSSL erabiltzen duen ala ez. OpenVPN kriptografia-liburutegi bat baino gehiagorekin esteka daiteke, eta horietako baterako balio duen ezarpenak ez du zentzurik besteentzat. Galdetu bitarrari zerekin eraiki zen, eta gero galdetu liburutegiari zein bertsio eta konfigurazio kargatu zituen:

openvpn --version | head -3
openssl version -a

Irakurri bertsioaren irteera arretaz, banaketek lehenetsitako balioak adabakitzen dituztelako. Batzuek gutxieneko maila upstream-en lehenetsitik gorakoa egiten duen sistema-konfigurazioa daramate, eta horregatik profil berak modu desberdinean jokatzen du OpenVPN pakete berdinak dituzten bi makinatan. Indarrean dagoen politika exekutatzen ari den prozesuak kargatu duena da, ez upstream-en eskuliburukoa.

Ondoren bereizi jendeak nahasten dituen bi geruzak. OpenVPN-k bere TLS kontrolak ditu, besteak beste ziurtagiri-profilaren ezarpena eta zifratze-zerrenda esplizituak, eta horiek liburutegiak ezartzen duenaren gainetik daude. Liburutegiaren maila jaisteak ez du aldatzen zure OpenVPN konfigurazioak zein zifratze zerrendatzen dituen, eta OpenVPN zerrenda estutzeak ez du liburutegiaren atalasea igotzen. Zein geruzak baztertu zintuen jakitea da konponketa susmoa izaten ez uzteko giltza.

Bereizi baztertu daitezkeen hiru gauzak

Lehen hautagaia identitate-materiala da: gakoa oso txikia duen edo politikak jada onartzen ez duen sinadura-algoritmoa duen ziurtagiria. Bigarrena gako-trukerako parametroa da, politikak ahulegitzat jotzen duen talde bat adibidez. Hirugarrena politikak baztertzen duen zifratze-multzo bat da. Hirurek handshake hutsegitea eragin dezakete, eta errore-testuak eta negoziazio-faseak soilik bereizten dituzte.

Hiru horietako bat ere ez da datu-kanalaren zifratzea. OpenVPN-k tunelaren zifratzea TLS handshake-tik bereiz negoziatzen du, beraz segurtasun-maila aldatu ondoren arrakasta duen konexioak ez du ezer esaten zure datuak zein zifratzek babesten dituen. Benetan egiten ari zaren galdera datuen konfidentzialtasunari buruzkoa bada, kontrol okerrean ari zara begira.

Maila jaisteak hiru sarreren onarpena aldi berean zabaltzen du. Hori da jendeak ahazten duena: ziurtagiri zahar bat onartzen duen konponketak talde ahul bat eta agian baimendu nahi ez zenuen multzo bat ere onartzen ditu. Errore bakar batek eragin zuen aldaketa, eta aldaketa errorea baino zabalagoa da. Asimetria hori da eremu osoarentzako lehenetsitako balioaren ordez salbuespen mugatu bat hobea izateko arrazoia.

Aldatu sarrera, ez atalasea

Gorde errore zehatza konfigurazioa ukitu aurretik, hura jakinarazi zuen faseari eta izendatu zuen objektuari barne. Ziurtagiri-arazo bat uneko politikak onartzen duen zerbaitengatik ordezkatuz konpontzen da, eta horrek normalean agintaritzan berriro jaulkitzea esan nahi du, fitxategi bera berriro instalatu beharrean.

Baztertutako sarrera kontrolatzen ez duzun pare batekoa bada, elkarrizketa pare horren jabearekin da onartutako ordezko materialari buruz. Inork mantentzen ez duen sistema bat hartzeko zeure atalasea jaisteak kostua haiengandik ondoren konektatzen diren guztiengana eramaten du.

Zerbitzariak politika ezartzen duen lekuan, egiaztatu OpenVPN mailako ezarpen bat ote den benetako kausa liburutegia errudun egin aurretik. Inplantatutako ziurtagiriak ase dezakeena baino klase zorrotzagoa eskatzen duen ziurtagiri-profil batek huts egingo du segurtasun-maila edozein dela ere, eta profil hori kentzea liburutegiaren egiaztapenak desgaitzea baino aldaketa estuagoa da.

Jaitsi behar baduzu, mugatu eta erregistratu

Batzuetan onartutako bateragarritasun-salbuespena da erantzun zuzena, batez ere erretiro-plana datatua duen pare zahar batentzat. Mugatu behar duen zerbitzura, ostalari osora beharrean: zerbitzu bakoitzeko konfigurazio-fitxategi batek edo OpenSSL konfigurazio dedikatu batek eragin-erradio txikiagoa du profil globalean egindako esportazioak baino.

Idatzi lau gauza salbuespenarekin: ezarpen zehatza, onartu zuen jabea, eragiten dien bezeroak eta kentzen den baldintza. Erretiro-baldintzarik gabeko salbuespena behin betiko ahultzea da, erantsitako behin-behineko justifikazioarekin.

Atzera egitea dagoeneko probatu duzun urrats bakarra izan beharko litzateke. Gorde aurreko konfigurazioa, aplikatu aldaketa, berretsi zerbitzua abiarazten dela, eta jakin zehazki zein fitxategi leheneratu hurrengo konexioak espero ez bezala jokatzen badu.

Egiaztatu identitatea eta babesa ondoren

Konexio arrakastatsu batek soilik frogatzen du berrikusitako baldintzek onartu zutela. Berretsi ostalari-izenaren eta parearen egiaztapenak oraindik bere lana egiten duela, erabiltzen ari den ziurtagiria inplantatzeko asmoa zenuena dela eta negoziatutako datu-kanala uste duzun politikarekin bat datorrela.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL-ren segurtasun-mailen erreferentzia argia da: markoak gako, sinadura, talde eta multzo guztiei batera aplikatzen dizkie mugak, eta zero mailak callback-ak egiaztatzen duen guztia baimentzen du. Hori da aldatu duzunaren irismena, eta hori da konponketa estua izan zen galdetzen duenari aipatzeko esaldia.

Auditoria bat gainditzen duen eskualdaketak esaten du zein politikak zein sarrera baztertu zuen, zer aldatu zen eta zer jarraitzen duen onartuta ondorioz. «SECLEVEL=0-rekin funtzionatzen du» konexio bati buruzko behaketa da, ez inplantazioaren segurtasun-ebaluazioa.