Wani tsohon peer yana tilasta TLS 1.0: iyakance keɓewa, ba mai masauki ba

Wata tsohuwar na'ura ta bayyana, ta kasa haɗawa, kuma maganin da ya fi saurin kamawa shine a raunana duk mai masaukin har haɗin ya yi nasara. Wannan musayar ba a ganinta a lokacin kuma tana dawwama a aikace, domin babu wanda ke cire ƙaramin matakin da a ƙarshe yake aiki. Lalacewa biyu daban-daban ne ke haifar da matsin, kuma ɗaya ne kawai daga cikinsu ke da alaƙa da sirruka kwata-kwata. Da farko a tsara lalacewar, sannan a ajiye keɓewar a inda ba za ta iya yaɗuwa ba.

Raba gazawar gida biyu kafin a gyara umarni

Layin log na uwar garke game da rashin sirri na gama-gari, ko game da sigar yarjejeniya da ba a tallafa mata, ya fito ne daga tashar sarrafawa: ɓangarorin biyu sun kasa daidaita yadda za a kare shawarar da kanta. Amma layin abokin ciniki da ke cewa babu wata hanyar tabbatar da takardar uwar garke da aka kunna ya fito daga wani wuri daban, domin wannan abokin ciniki ba ya duba ko wanene ya amsa. Canza sirrin bayanai ba ya amfani a yanayi na biyu, kuma ƙara duba rawar ba ya amfani a na farko.

Ɗauki layin gazawa na farko daga kowane ɓangare maimakon layin ƙarshe kafin katsewa, domin na ƙarshe yawanci sakamako ne. Sannan gano wace fayil ɗin abokin ciniki ya buɗe a zahiri: bayanin da aka shigo da shi yakan kasance sau biyu ƙarƙashin sunaye daban-daban na nuni, kuma gyara kwafin da babu wanda ke karantawa yana haifar da kamannin rashin canji. Tsarin da ke gudana yana riƙe da saitunan da ya fara da su, don haka fayil ɗin da aka ajiye ba fayil ɗin da aka loda ba ne. Umarnin da ke ƙasa suna nuna shawarar abokin ciniki tare da ra'ayin uwar garke kan wannan ƙoƙari.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Wani mai sauraro na biyu shine gaskiya wurin ƙaramin mataki

Lokacin da na'urar ta tsaya a TLS 1.0 da tashar bayanai kafin 2.5, dole uwar garke ta bayar da ƙaramin matakin tashar sarrafawa da sirrin bayanai da tsohon abokin ciniki ya gane. Umarnin ajiya yana wanzu don wannan peer ɗin, yayin da jerin sirruka ke riƙe abokan ciniki na zamani a kan tsarin zamani. Dukkan umarnin biyu na mai sauraro ne ba na mai amfani ko haɗi ba, kuma babu zaɓi na kowane abokin ciniki da ke rage su daga baya. Shi ya sa na'ura ɗaya ta tsohuwa a babbar tashar jiragen ruwa yanke shawara ce kan kowane peer da ke raba ta.

Inda dandamali ya yarda, gudanar da tsohon mai sauraro a matsayin nasa misali a wata tashar daban, ba da izinin wannan tashar daga adireshin na'urar kawai, kuma a bar babban sabis ɗin shi kaɗai. Rubuta dalilin wanzuwar mai sauraro na biyu, a cikin fayil ɗin da ke ɗauke da tsarin sa, domin tsaftacewar gaba za ta karanta shi a matsayin tarkace idan ba haka ba. Rabuwar tana da amfani ne kawai idan ƙaramin matakin ya ƙare a inda na'urar ta ƙare.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Me tsohuwar takardar tabbaci daga mai bayarwa take karyawa a zahiri

Kuskuren tabbatarwa shine ɓataccen ɗaurin rawa: idan babu shi abokin ciniki zai karɓi kowace takardar tabbaci da ta haɗu da CA abin dogaro, ko an ba da ita don uwar garke ko a'a. Da farko a ɗaura takardar tabbaci ga rawar uwar garke, kuma a ɗauki ɗaurin a matsayin buƙata ba kullin daidaitawa ba. Bayanin da har yanzu ke gazawa bayan wannan matakin ne kawai ke da ainihin matsalar takardar tabbaci.

Tsohuwar takardar tabbaci daga mai bayarwa wadda girmanta na maɓalli ko algorithm ɗin sa hannu ba ya cika manufar OpenSSL ta asali, ita ce yanayin canjin matakin tsaro mai iyaka a tashar sarrafawa. Rage matakin a can ba ya kashe tabbatarwa, kuma ba za a taɓa haɗa shi da CA mara komai, saitin tabbatarwa da aka kashe, ko sunan mai masauki da ba a duba ba. Riƙe layin cikin bayanin da ke buƙatarsa kawai; fitar da tsarin OpenSSL mai sassauci a duniya zai ba da wannan sassaucin ga kowane shiri a na'urar.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Karanta ƙimar da aka yi shawara a kanta, ba banner ɗin ba

A matakin bayani 4 ɓangarorin biyu suna buga sigar TLS da sirrin tashar sarrafawa da suka daidaita, da sirrin bayanai na zaman. Karanta waɗannan layukan maimakon banner ɗin farawa, wanda ke ba da labarin nasara ba sharuɗɗanta ba. Sannan sake haɗa abokin ciniki na zamani da babban mai sauraro kuma tabbatar da cewa har yanzu yana sauka a kan tsarin zamani, domin keɓewar da ta zube cikin tsarin gama-gari ana ganinta a nan da farko. Ƙimar da kuka kwafa sun zama tushen tushe don bita na gaba.

Gwada tsohuwar na'urar ita kaɗai: ya kamata ta haɗa, kuma ya kamata ita ce kawai zaman a cikin log ɗin da ke nuna ƙananan sigogi. Idan wani peer na biyu ma ya yi shawara kan tsohon tsarin, keɓewar ta fi abin da aka nufa faɗi kuma rabuwar mai sauraro ba ta faru da gaske ba. Rubuta duka abubuwan lura biyu ba kammalawa kaɗai ba.

Kowace keɓewa tana buƙatar mai shi da kwanan wata

Keɓewar da ba ta da sharadi na cirewa tana zama tsohuwar ƙima cikin shiru, don haka a ajiye na'urar, mai shi, dalili da ranar da za ta tafi kusa da tsarin da take tabbatarwa. Idan babu wannan layin ƙaramin matakin yana rayuwa fiye da kayan aikin da suka buƙace shi.

Maye gurbin abokin ciniki, ko neman sabon bayani daga mai bayarwa, shine sakamakon da ya kamata a nema; keɓewar jinkiri ce ba ƙira ba. Lokacin da na'urar ta yi ritaya, cire mai sauraro da bayanin a cikin canji ɗaya domin babu rabin da zai ci gaba da gudana. Babu ɗaya daga cikin waɗannan da ke sa tsoffin sigogi su zama lafiya, kawai yana hana iyakar na'ura ɗaya zama tushen kowa.