Cuireann sean-phiar amháin TLS 1.0 i bhfeidhm: cuir teorainn leis an eisceacht, ní leis an óstach

Tagann sean-ghléas amháin chun solais, teipeann air ceangal, agus is é an deisiú is tapúla ar an gcuma ná an t-óstach ar fad a lagú go n-éiríonn leis an gceangal. Tá an mhalairt sin dofheicthe ar an toirt agus buan i gcleachtas, mar ní bhaineann éinne íoslíne a oibríonn sa deireadh. Cruthaíonn dhá locht an-difriúla an brú, agus ní bhaineann ach ceann amháin acu le sifríní ar chor ar bith. Sórtáil an locht ar dtús, ansin cuir an eisceacht in áit nach féidir léi scaipeadh.

Roinn an teip ina dhá chuid sula n-athraíonn tú treoir

Tagann líne i logchomhad an fhreastalaí faoi shifre chomhroinnte a bheith in easnamh, nó faoi leagan prótacail nach dtacaítear leis, ón gcainéal rialaithe: níorbh fhéidir leis an dá cheann teacht ar chomhaontú faoin gcaoi an t-idirbheartú féin a chosaint. Tagann líne an chliaint a deir nach bhfuil aon mhodh chun deimhniú an fhreastalaí a fhíorú cumasaithe ó áit eile ar fad, mar ní dhéanann an cliant sin aon seiceáil ar cé a d'fhreagair. Ní dhéanann athrú shifre sonraí aon rud sa dara cás, agus ní dhéanann seiceáil róil a chur leis aon rud sa chéad chás.

Tóg an líne teipe is luaithe ó gach taobh seachas an líne dheireanach roimh an dícheangal, mar is iarmhairt a bhíonn sa cheann dheireanach de ghnáth. Ansin aimsigh cén comhad a d'oscail an cliant i ndáiríre: bíonn próifíl iompórtáilte ann faoi dhó go minic faoi ainmneacha taispeána éagsúla, agus cruthaíonn eagrú an chóip nach léann éinne athrú dealraitheach nach bhfuil ann. Coinníonn próiseas atá ag rith na socruithe a thosaigh sé leo, mar sin ní comhad lódáilte é comhad sábháilte. Taispeánann na horduithe thíos idirbheartú an chliaint in aice le radharc an fhreastalaí ar an iarracht chéanna.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Is é an dara héisteoir an áit macánta d'íoslíne níos laige

Nuair a stopann an gléas ag TLS 1.0 le cainéal sonraí roimh 2.5, caithfidh an freastalaí íoslíne níos ísle don chainéal rialaithe agus sifre sonraí a aithníonn an seanchlient a thairiscint. Tá an treoir chúltaca ann go díreach don phiar sin, agus coinníonn an liosta sifríní cliaint nua-aimseartha ar shraitheanna nua-aimseartha. Baineann an dá threoir leis an éisteoir seachas le húsáideoir nó le ceangal, agus ní chúngaíonn aon rogha in aghaidh an chliaint iad ina dhiaidh sin. Sin é an fáth gur cinneadh faoi gach piar a roinneann é gléas sean amháin ar an bpríomhphort.

San áit a gceadaíonn an t-ardán é, rith an sean-éisteoir mar a shainchás féin ar phort ar leith, ná ceadaigh an port sin ach ó sheoladh an ghléis, agus fág an phríomhsheirbhís gan baint di. Scríobh síos cén fáth a bhfuil an dara héisteoir ann, sa chomhad a bhfuil a chumraíocht air, mar léifidh glantachán amach anseo é mar fhuíollach mura ndéanfaidh tú sin. Ní fiú an deighilt ach amháin má chríochnaíonn an íoslíne níos laige san áit a gcríochnaíonn an gléas.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Cad a mhilleann seandeimhniú ó sholáthraí i ndáiríre

Is é atá san earráid fhíoraithe ná ceangal róil atá ar iarraidh: gan é glacfaidh an cliant le haon deimhniú a shlabhraíonn chuig CA iontaofa, cibé acu a eisíodh an deimhniú sin do fhreastalaí nó nach ea. Ceangail an deimhniú le ról an fhreastalaí ar dtús, agus caith leis an gceangal mar riachtanas seachas mar chnaipe mhionchoigeartaithe. Níl fíorphroblem dheimhnithe ach ag próifíl a theipeann fós i ndiaidh an chéim sin.

Is é seandeimhniú ó sholáthraí nach gcomhlíonann a mhéid eochrach nó a algartam sínithe beartas réamhshocraithe OpenSSL a thuilleadh an cás le haghaidh athrú teoranta ar an leibhéal slándála ar an gcainéal rialaithe. Ní mhúchann ísliú an leibhéil ansin an fhíorú, agus ní cheart é a chomhcheangal riamh le CA folamh, le socrú fíoraithe díchumasaithe nó le hainm óstaigh neamhsheiceáilte. Coinnigh an líne laistigh den phroifíl amháin a dteastaíonn sí uaithi; thabharfadh easpórtáil dhomhanda ar chumraíocht OpenSSL scaoilte an scaoileadh céanna do gach clár ar an meaisín.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Léigh na luachanna idirbheartaíochta, ní an meirge

Ag leibhéal 4 de bhriatharchath, priontálann an dá cheann an leagan TLS agus an tsifre den chainéal rialaithe ar thángthas orthu, agus sifre sonraí an tseisiúin. Léigh na línte sin seachas meirge an túsaithe, a thugann tuairisc ar rath agus ní ar a choinníollacha. Ansin athcheangail cliant nua-aimseartha leis an bpríomhéisteoir agus dearbhaigh go dtagann sé fós ar shraith nua-aimseartha, mar is anseo is túisce a fheictear eisceacht a sceith isteach sa chumraíocht chomhroinnte. Is é na luachanna a chóipeálann tú an bunlíne don chéad athbhreithniú eile.

Tástáil an sean-ghléas ina aonar: ba cheart dó ceangal, agus ba cheart gurb é an t-aon seisiún sna logchomhaid a thaispeánann na paraiméadair níos laige. Má dhéanann dara piar idirbheartú ar an tseanshraith freisin, tá an eisceacht níos leithne ná mar a bhí beartaithe agus níor tharla deighilt an éisteora i ndáiríre. Taifead an dá bhreathnóireacht, ní an chonclúid amháin.

Teastaíonn úinéir agus dáta ó gach eisceacht

Éiríonn eisceacht gan choinníoll bainte ina réamhshocrú go ciúin, mar sin cuir an gléas, an t-úinéir, an chúis agus an dáta a n-imíonn sí os comhair na cumraíochta a thugann údar di. Gan an líne sin maireann an íoslíne níos laige níos faide ná an crua-earra a raibh sí ag teastáil uaidh.

Is é an toradh ba chóir a bheith mar sprioc ná an cliant a athrú, nó próifíl reatha a iarraidh ar an soláthraí; is moill í an eisceacht agus ní dearadh. Nuair a théann an gléas ar scor, bain an t-éisteoir agus an phroifíl sa chéad athrú céanna ionas nach bhfanann ceachtar leath ag rith. Ní dhéanann aon rud díobh seo na sean-pharaiméadair a dhéanamh sábháilte, ní choisceann sé ach teorainn gléis amháin a bheith ina bunlíne ag cách.