Sunayen narkewar SHA1 a OpenSSL: me lissafin tsoho ke nufi

Ana karanta tsoffin jerin narkewa kamar kwafin shawarwarin sirri, kuma ba haka suke ba. Sunaye kamar SHA1, DSA-SHA1-old ko RSA-SHA1-2 suna tsaye gefe da gefe a tsoffin gine-ginen OpenSSL saboda ɗakin karatu ya yi rijistar wuraren shiga da yawa a kewayen injin hash mai alaƙa. Alamar RSA ko DSA a wannan jerin ba ta faɗin komai game da abin da OpenVPN ya yi wa fakiti. Abin da kake karantawa shi ne lissafin ɗakin karatu, ba rikodin zama ba.

Dole ne a raba abubuwa uku kafin kowane ƙarshe ya sami ma'ana: sunan da aka yi rijista, lissafin narkewar da ke ƙarƙashinsa da aikin da ke cinye shi.

Rijista mu'amala ce, ba ƙimar ƙarfi ba

A cikin OpenSSL 1.0.2 teburin rijistar narkewa yana haɗa sunaye, laƙabi da aiwatarwa a cikin fayil ɗaya. Tsohon bayanin DSS1 shi ne mafi bayyanan misali: yana ba da tsawon fitowar SHA-1 kuma yana kiran tsarin kammala SHA-1 yayin da yake ɗauke da sunan da ke nuna wani tsari daban gabaki ɗaya. Don haka ƙarin haruffa a cikin rijista ba sa nufin wani hash daban, fitowa mai tsayi ko sabon matakin tsaro.

Irin wannan tushe yana kiyaye alaƙar laƙabi ga tsofaffin masu kira, wanda ke bayyana dalilin da yasa jeri ke kama da cike. Wannan takardun jituwa ne, ba alkawarin cewa mai bayar da OpenSSL na yanzu zai nuna sunaye iri ɗaya ba.

Sunayen sa hannu ba sa ƙirƙirar sa hannu

Tsarin sa hannu zai iya ɗaure narkewa zuwa mu'amalar wani tsari don tsofaffin masu kira su ci gaba da haɗawa. Ainihin sa hannun maɓalli na jama'a yana buƙatar maɓalli da matakin sa hannu da ke amfani da shi, kuma babu ɗaya da suna a menu ke bayarwa. Shigar narkewa mai ɗanɗanon RSA suna ne da mai kira zai iya amfani da shi, ba hujjar cewa kowane fakitin VPN yana ɗauke da sa hannun RSA ba.

A wannan mataki ne tsofaffin rubuce-rubuce ke zamewa cikin tatsuniyoyi. Idan kana buƙatar sanin yadda aka tabbatar da fakiti, nemo zaɓin da ya zaɓi hanyar sannan ka karanta abin da yake yi a sigar da kake gudanarwa da gaske. Shafin littafin jagora da aka aika tare da wannan fitowar shi ne kawai bayanin da ya dace da shirin da ke gabanka. Jagororin da aka adana suna bayyana fitowar da aka rubuta su dominta, wadda ƙila ta kasance bayan wasu ƙa'idojin suna.

Nemo zaɓin da ya cinye sunan

A cikin yanayin tabbatar da fakiti da OpenVPN 2.6 ya rubuta, auth yana zaɓar narkewar da HMAC ke amfani da shi, ginin tabbatar da saƙo mai maɓalli maimakon sa hannun shaida. Tsarin sa hannu na takardar shaidar TLS wata dukiya ce dabam ta musafaha.

Tare da sirrin bayanai na AEAD, saitin auth na dabam ya daina aiki a tashar bayanai, yayin da rawar da yake takawa ga tls-auth ya kasance wata tambaya dabam. Don haka jerin narkewa ba zai iya gaya maka wane hash ya kare fakitin yanzu ba, wane tsarin TLS aka tattauna ba, ko yadda aka sa hannu kan takardar shaidar abokin gaba ba. Sai dai ingantaccen tsari tare da sigar za su iya amsa hakan, kuma ga haɗin da ke gabanka kawai.

Rubuta abin da kake da shi da gaske

Rubuta sigar OpenVPN, ɗakin karatun sirri da aka haɗa, ainihin zaɓuɓɓukan da ke cikin bayanin martaba da sakamakon haɗi na gaske. Wannan saitin yana amsa tambayoyin da hoton allo na menu na narkewa ba zai iya amsawa ba, kuma yana wucewa bayan sabuntawa na gaba domin yana ambaton sigogi maimakon ra'ayoyi.

Fiye da komai, kada ka zaɓi tsohon laƙabi domin sunansa ya fi ƙarfi ko ya fi takamaimai. Zaɓi manufar da aka tallafa wa dukan haɗin, kuma ɗauki tsoffin sunaye a matsayin rikodin yadda ɗakin karatu ya gabatar da kansa a da.