OpenVPN-kaaifraach nei OpenSSL 3: kontrolearje de leveransier

Nimmen hat it profyl oanrekke, en dochs freget deselde klient no by elke start in wachtfrase foar de priveekaai. As dy feroaring binnen in pear dagen nei in distribúsje-upgrade komt, is de upgrade de wierskynlike oarsaak: OpenSSL 3 hat syn algoritme-stipe opnij yndield, en in kaai dy’t de âlde bibleteek sûnder swierrichheden lies, kin ûnlêsber wurde sûnder dat ien byte feroaret. Wurkje de kontrôles op folchoarder ôf, want twa fan harren lykje identyk as jo allinnich de fraach besjogge.

De earste fraach is oft de kaai fersifere is, en de twadde is oft dizze build him ûntsifere kin. Konfiguraasjeferoarings hawwe pas sin as beide antwurden bekend binne.

Kontrolearje oft de kaai fersifere is

Lês de earste rigel fan it bestân en lit de bibleteek it dan parse, want in bestânsnamme bewiist neat. In PEM-blok mei it label ENCRYPTED PRIVATE KEY is fersifere PKCS#8, en in âlder RSA PRIVATE KEY blok mei Proc-Type: 4,ENCRYPTED is de tradisjonele foarm, en beide ferwachtsje in wachtfrase. In ûnfersifere PRIVATE KEY blok soe hielendal gjin ien freegje moatte. Rinn it parsen as it akkount dat it bestân besit, want in rjochteprobleem jout in oare en folle minder nijsgjirrige flater.

As de kaai echt ûnfersifere is en de klient freget noch, hâld dan op mei nei kryptografy te sjen en kontrolearje oft it profyl in askpass-bestân neamt dat de tsjinst noch lêze kin.

Kontrolearje oft dizze build him ûntsifere kin

OpenSSL 3 hat syn algoritme-stipe ferdield oer leveransiers, en in set âldere sifers sit no yn ’e legacy-leveransier ynstee fan yn ’e standertien. In kaai fersifere mei ien fan dy sifers bliuwt jildich, mar in bibleteek laden sûnder de legacy-leveransier kin him net dekodearje. By guon klienten docht dat him foar as in fraach dy’t him werhellet, by oaren as in hurde mislearring fuort nei de wachtfrase.

Parse deselde kaai twa kear mei itselde binêre bestân: earst allinnich mei de standertleveransier, dêrnei mei legacy en standert beide oanfrege op ’e kommandorigel. As de twadde poging slagget wêr’t de earste mislearre, rêstet de diagnoaze op bewiis ynstee fan op it momint fan in upgrade. As beide identyk mislearje, is de wachtfrase ferkeard of is it bestân skansearre, en gjin inkelde leveransier-ynstelling reparearret ien fan beide.

Kontrolearje de smelste beskikbere oplossing

Jou de foarkar oan in feroaring beheind ta de klient boppe ien foar it hiele systeem. Guon 2.6-builds akseptearje in profylopsje dy’t beide leveransiers foar dat daemonproses lade, dus befêstigje de rjochtline yn it hânboek foar jo krekte ferzje foardat jo dêrop fertrouwe; it bewurkjen fan it systeem-openssl.cnf ynstee dêrfan rekket elk OpenSSL-programma op ’e host. De smellere ynstelling is ek folle makliker werom te draaien sadree’t de kaai opnij kodearre is.

Wiskje de wachtfrase net om de fraach fuort te krijen. Dat feroaret beskerme tagongsgegevens yn in platte-tekstbestân en feroaret stil it risiko fan elke reservekopy, kopy en stipebondel wêryn’t it foarkomt. It ferskil dat fan belang is, is tusken in kaai dy’t syn wachtfrase nedich hat en in kaai dy’t dizze bibleteek net dekodearje kin.

Kontrolearje de tsjinstkontekst, kodearje dêrnei opnij

Sadree’t de kaai ûntskoattele wurde kin, fersiferje him opnij mei in aktueel algoritme sadat de ôfhinklikheid ferdwynt. Skriuw it nije bestân mei in moderne sifer, ferifiearje dat it parset, bywurkje it profyl en hâld de âlde kopy allinnich oant in ferbining slagget. Set de wachtfrase nea op in kommandorigel, dêr’t elke lokale brûker him út ’e proseslist lêze kin. Ferwiderje it âlde bestân pas neidat it nije ferbûn is fan it tsjinstakkount út, net allinnich fan jo shell.

Kontrolearje dan de ienheid dy’t de klient echt draait. In kaai dy’t yn jo shell lêsber is, kin ûnlêsber wêze foar in tsjinst dy’t ûnder in oar akkount of mei in ferhurde thúsmapynstelling draait.

Skriuw de leveransier-ynstelling njonken it profyl en hâld de twa-kommando-toets dêrby. As in lettere upgrade de legacy-leveransier weilitten, rin dan dy toets opnij om te sjen oft de kaai him noch nedich hat of oft it profyl út ’e tiidlike oplossing helle wurde kin.

In fraach is in symptoom mei op syn minst trije oarsaken, en mar ien dêrfan is in ûntbrekkende wachtfrase.