Einn gamall jafningi þvingar TLS 1.0: afmarkaðu undantekninguna, ekki hýsilinn

Eitt gamalt tæki birtist, nær ekki að tengjast, og fljótlegasta viðgerðin virðist vera að veikja allan hýsilinn þar til tengingin tekst. Sú skipti er ósýnileg á augabragði og varanleg í framkvæmd, því enginn fjarlægir þann grunn sem loks virkar. Tvö gjörólík bil skapa þessa pressu, og aðeins annað þeirra snýst um dulritunarsvita. Flokkaðu bilið fyrst og setjið undantekninguna svo þar sem hún getur ekki dreift sér.

Skiptu bilinu í tvennt áður en þú breytir stýriskipun

Lína úr þjónsloggi um að enginn sameiginlegur dulritunarsviti sé til, eða um óstudda útgáfu samskiptareglna, kemur frá stýrirásinni: endarnir tveir gátu ekki komið sér saman um hvernig eigi að verja samningaviðræðurnar sjálfar. Lína úr biðlaranum sem segir að engin aðferð til að sannreyna skírteini þjóns sé virk kemur víðtækilega annars staðar frá, því sá biðlari er alls ekki að athuga hver svaraði. Að skipta um gagnadulsritunarsvita gerir ekkert fyrir seinna tilvikið, og að bæta við hlutverksathugun gerir ekkert fyrir það fyrra.

Taktu fyrstu bilandi línuna frá hvorri hlið frekar en síðustu línuna fyrir aftenginguna, því sú síðasta er venjulega afleiðing. Komdu því næst á hvaða skrá biðlarinn opnaði í raun: innflutt snið er oft til tvisvar undir mismunandi sýnilegum nöfnum, og að breyta eintakinu sem enginn les framkallar sannfærandi enga breytingu. Keyrandi ferli heldur stillingunum sem það byrjaði með, svo vistuð skrá er ekki hlaðin skrá. Skipanalínurnar hér að neðan sýna samningaviðræður biðlarans við hlið þjónsins á sama tilraun.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Önnur hlust er heiðarlegi staðurinn fyrir veikari grunn

Þegar tækið nær aðeins TLS 1.0 með gagnarás fyrir 2.5, verður þjónninn að bjóða lægri grunn fyrir stýrirásina og gagnadulsritunarsvita sem gamli biðlarinn þekkir. Varaleiðin er til fyrir einmitt þennan jafningja, á meðan listi dulritunarsvita heldur nútíma biðlurum á nútímasettum. Báðar stýriskipanirnar tilheyra hlustinni en ekki notanda eða tengingu, og enginn valkostur á hvern biðlara þrengir þær síðar. Þess vegna er eitt arfleifðartæki á aðalportinu ákvörðun um hvern þann jafningja sem deilir því.

Þar sem kerfið leyfir það skaltu keyra arfleifðarhlustina sem eigin eintak á sérstöku porti, leyfa það port aðeins frá vistfangi tækisins og láta aðalþjónustuna í friði. Skrifaðu niður hvers vegna önnur hlustin er til, í skránni sem ber stillingar hennar, því annars les framtíðarhreinsun hana sem skilið rusl. Skiptingin er aðeins þess virði að veikari grunnurinn endi þar sem tækið endar.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Hvað gamalt skírteini frá þjónustuveitanda brýtur í raun

Sannreynsluvillan er vantar hlutverkatengingu: án hennar tekur biðlarinn við hvaða skírteini sem er í keðju að treystu CA, hvort sem það var gefið út fyrir þjón eða ekki. Tengdu skírteinið við hlutverk þjónsins fyrst og meðhöndlaðu tenginguna sem kröfu en ekki stillihnapp. Aðeins snið sem enn bregst eftir það skref á raunverulegt vandamál með skírteinið.

Gamalt skírteini frá þjónustuveitanda þar sem lyklastærð eða undirskriftarreiknirit uppfyllir ekki lengur sjálfgefna stefnu OpenSSL er tilvikið fyrir afmarkaða breytingu á öryggisstigi á stýrirásinni. Að lækka stigið þar slökkvir ekki á sannreynslu, og það má aldrei fara saman við tómt CA, óvirka sannreynslustillingu eða óathugað hýsilnafn. Haltu línunni inni í því eina sniði sem þarf á henni að halda; að flytja út slakaða OpenSSL-stillingu á heimsvísu myndi afhenda sömu slökun til hvers forrits á vélinni.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Lestu samningsbundin gildi, ekki borðann

Við verbosity 4 prenta báðir endar TLS-útgáfu stýrirásarinnar og dulritunarsvitann sem þeir urðu sammála um, og gagnadulsritunarsvitann fyrir setuna. Lestu þær línur frekar en upphafsborðann, sem tilkynnir árangur en ekki skilmála hans. Tengdu svo nútíma biðlara aftur við aðalhlustina og staðfestu að hann lendi enn á nútímasetti, því undantekning sem hefur lekið inn í sameiginlegar stillingar kemur fyrst í ljós hér. Gildin sem þú afritar verða grunnviðmiðið fyrir næstu endurskoðun.

Prófaðu gamla tækið eitt og sér: það á að tengjast og á að vera eina setan í loggunum sem sýnir veikari færibreyturnar. Ef annar jafningi semur líka um gamla settið er undantekningin víðtækari en ætlað var og skipting hlustarinnar varð í raun ekki. Skráðu báðar athuganirnar frekar en niðurstöðuna eina.

Sérhver undantekning þarf eiganda og dagsetningu

Undantekning án skilyrðis um brottnám verður hljóðlega sjálfgefin, svo settu tækið, eigandann, ástæðuna og dagsetninguna sem hún hverfur þann dag við hlið stillingarinnar sem hún réttlætir. Án þeirrar línu lifir veikari grunnurinn lengur en vélbúnaðurinn sem þurfti á honum að halda.

Að skipta um biðlara, eða biðja þjónustuveitandann um núgildandi snið, er útkoman sem skal stefna að; undantekningin er töf en ekki hönnun. Þegar tækið er tekið úr notkun skal fjarlægja hlustina og sniðið í sömu breytingu svo hvorugur helmingurinn haldi áfram að keyra. Ekkert af þessu gerir gömlu færibreyturnar öruggar, það kemur aðeins í veg fyrir að takmörk eins tækis verði grunnur allra.