SHA1-þykklinöfn í OpenSSL: hvað þýðir gamall listi

Gömlum þykkilistum er lesið eins og upprit dulmálslegra ákvarðana, og það eru þeir ekki. Nöfn eins og SHA1, DSA-SHA1-old eða RSA-SHA1-2 standa við hlið hvors annars í gömlum OpenSSL-útgáfum vegna þess að bókasafnið skráði nokkra inngangspunkta í kringum skylda hash-vélbúnað. RSA- eða DSA-merking í þeim lista segir ekkert um það sem OpenVPN gerði við pakka. Það sem þú ert að lesa er birgðalisti bókasafnsins, ekki skrá um setu.

Þrjá hluti þarf að aðskilja áður en nokkur niðurstaða hefur merkingu: skráða heitið, þykkilútreikninginn undir því og aðgerðina sem neytir hans.

Skráning er viðmót, ekki styrkleikamat

Í OpenSSL 1.0.2 tengir skráningartafla þykkla nöfn, samheiti og útfærslur í einni skrá. Gamli DSS1-lýsingin er skýrasta tilfellið: hún tilkynnir lengd úttaks SHA-1 og kallar á lokunarrútínu SHA-1 á meðan hún ber nafn sem bendir til gjörólíks reiknirits. Aukastafir í skráningu þýða því ekki annan hash, lengra úttak né nýtt öryggisstig.

Sama uppspretta varðveitir samheitasambönd fyrir eldri kallendur, sem útskýrir hvers vegna listi virðist fullur. Þetta er skjölun sampættingar, ekki loforð um að núverandi OpenSSL-veitandi birti sömu nöfn.

Undirritunarnöfn búa ekki til undirritanir

Undirritunarrammi getur bundið þykkil við viðmót annars reiknirits svo núverandi kallendur haldi áfram að þýðast. Alvöru undirritun með opinberum lykli þarf bæði lykil og undirritunarþrepið sem notar hann, og hvorugt er veitt af nafni í valmynd. Þykkilfærsla með RSA-blæ er nafn sem kallandi má nota, ekki sönnun þess að hver VPN-pakki hafi borið RSA-undirritun.

Á þessu þrepi renna eldri textar út í þjóðsögur. Ef þú þarft að vita hvernig pakkar voru sannreyndir skaltu finna valkostinn sem valdi aðferðina og lesa hvað hann gerir í þeirri útgáfu sem þú keyrir í raun. Handbókarsíðan sem fylgdi þeirri útgáfu er eina lýsingin sem passar við forritið fyrir framan þig. Geymdar leiðbeiningar lýsa þeirri útgáfu sem þær voru skrifaðar fyrir, og hún getur verið nokkrum nafnahefðum á eftir.

Finndu valkostinn sem neytti nafnsins

Í pökkunarsannvottunartilfellinu sem OpenVPN 2.6 skjalfestir velur auth þykkil sem HMAC notar, lyklaða skilaboðasannvottunargerð frekar en skírteinisundirritun. Undirritunurreiknirit TLS-skírteinisins er sérstakur eiginleiki handabandsins.

Með AEAD-gagnadulkóðun hættir sérstaka stillingin auth að gilda fyrir gagnarásina, en hlutverk hennar fyrir tls-auth er áfram sérstök spurning. Þykkilisti getur því ekki sagt þér hvaða hash varði núverandi pakka, hvaða TLS-sett var samið um eða hvernig skírteini mótaðilans var undirritað. Aðeins virka stillingin ásamt útgáfunni getur svarað því, og aðeins fyrir tenginguna fyrir framan þig.

Skrifaðu niður hvað þú hefur í raun

Skrifaðu niður OpenVPN útgáfuna, tengt dulmálsbókasafn, nákvæma valkosti í prófílnum og niðurstöðu raunverulegrar tengingar. Þetta sett svarar spurningum sem skjáskot af þykkilvalmynd getur ekki, og það lifir næstu uppfærslu af því að það nefnir útgáfur frekar en áhrif.

Umfram allt skaltu ekki velja gamalt samheiti vegna þess að nafnið hljómar sterkara eða sérstæðara. Veldu studdu stefnuna fyrir alla tenginguna og meðhöndlaðu gömul nöfn sem skrá um hvernig bókasafn kynnti sig áður.