SHA1-kivonatnevek az OpenSSL-ben: mit jelent egy régi lista

A régi kivonatlisták kriptográfiai döntések átirataként olvashatók, pedig nem azok. Az olyan nevek, mint SHA1, DSA-SHA1-old vagy RSA-SHA1-2, egymás mellett állnak a régi OpenSSL-összeállításokban, mert a könyvtár több belépési pontot jegyzett be a kapcsolódó hash-gépezet körül. Az RSA vagy DSA címke abban a listában nem mond semmit arról, hogy OpenVPN mit tett egy csomaggal. Amit olvas, az a könyvtár leltára, nem egy munkamenet feljegyzése.

Három dolgot kell szétválasztani, mielőtt bármely következtetés értelmet nyer: a regisztrált nevet, az alatta lévő kivonatszámítást és az azt fogyasztó műveletet.

A regisztráció felület, nem erősségi minősítés

Az OpenSSL 1.0.2-ben a kivonat-regisztrációs tábla egyetlen fájlban kapcsolja össze a neveket, álneveket és implementációkat. A régi DSS1-leíró a legvilágosabb eset: a SHA-1 kimeneti hosszát jelenti, és meghívja a SHA-1 lezáró rutinját, miközben olyan nevet visel, amely teljesen más algoritmusra utal. A regisztrációban szereplő extra betűk tehát nem jelentenek más hash-t, hosszabb kimenetet vagy új biztonsági szintet.

Ugyanaz a forrás megőrzi az álnév-kapcsolatokat a régebbi hívók számára, ami megmagyarázza, miért tűnik zsúfoltnak egy lista. Ez a kompatibilitás dokumentációja, nem ígéret arra, hogy egy jelenlegi OpenSSL-szolgáltató azonos neveket tesz közzé.

Az aláírási nevek nem hoznak létre aláírásokat

Az aláírási keretrendszer egy kivonatot egy másik algoritmus felületéhez köthet, hogy a meglévő hívók továbbra is forduljanak. Egy valódi nyilvános kulcsú aláíráshoz kulcs és az azt használó aláírási lépés is kell, és egyiket sem adja egy név a menüben. Az RSA-színezetű kivonatbejegyzés olyan név, amelyet a hívó használhat, nem annak bizonyítéka, hogy minden VPN-csomag RSA-aláírást hordozott.

Ezen a lépésen csúsznak át a régebbi írások a folklórba. Ha tudnia kell, hogyan hitelesítették a csomagokat, keresse meg azt az opciót, amely a mechanizmust kiválasztotta, és olvassa el, mit tesz abban a verzióban, amelyet ténylegesen futtat. Az adott kiadással szállított kézikönyvoldal az egyetlen leírás, amely az előtte álló programhoz illik. Az archivált útmutatók azt a kiadást írják le, amelyhez íródtak, és az több elnevezési konvencióval lemaradhat.

Keresse meg az opciót, amely a nevet fogyasztotta

Az OpenVPN 2.6 által dokumentált csomag-hitelesítési esetben a auth olyan kivonatot választ, amelyet a HMAC használ, kulcsos üzenethitelesítési konstrukciót tanúsítvány-aláírás helyett. A TLS-tanúsítvány aláírási algoritmusa a kézfogás külön tulajdonsága.

AEAD adatrejtjelező esetén a külön auth beállítás már nem vonatkozik az adatcsatornára, míg a tls-auth szerepében a kérdés külön marad. Egy kivonatlista ezért nem tudja megmondani, melyik hash védte az aktuális csomagokat, melyik TLS-csomagot tárgyalták meg, vagy hogyan írták alá a partner tanúsítványát. Csak a tényleges konfiguráció és a verzió válaszolhat erre, és csak az előtte lévő kapcsolat esetében.

Jegyezze fel, mi van valójában a birtokában

Jegyezze fel az OpenVPN verzióját, a csatolt kriptokönyvtárat, a profil pontos beállításait és egy valódi kapcsolat eredményét. Ez a halmaz megválaszol olyan kérdéseket, amelyekre egy kivonatmenü képernyőképe nem képes, és túléli a következő frissítést, mert verziókat nevez meg benyomások helyett.

Mindenekelőtt ne válasszon régi álnevet azért, mert a neve erősebbnek vagy konkrétabbnak hangzik. Válassza a támogatott szabályzatot az egész kapcsolat számára, és kezelje a régi neveket annak feljegyzéseként, hogyan mutatkozott be korábban egy könyvtár.