SECLEVEL=0 læknar einkennið, ekki vottorðið

OpenVPN-tenging mistekst, einhver finnur einnar línu lagfæringu sem bætir SECLEVEL=0 við, og göngin koma upp. Það sem breyttist var hvorki vottorðið né dulritunarsettið; samþykkisþröskuldur á bókasafnsstigi færðist, og allt sem ferlið gerir eftir það erfir nýju mörkin. Það er þess virði að skilja áður en sama lína er afrituð í hvert snið í umhverfinu.

Finndu út hvaða bókasafn og hvaða stefna eru í gildi

SECLEVEL er hugtak í OpenSSL, svo fyrsta spurningin er hvort byggingin þín notar OpenSSL yfirleitt. Hægt er að tengja OpenVPN við fleiri en eitt dulritunarbókasafn, og stilling sem gildir fyrir eitt þeirra er merkingarlaus fyrir hin. Spurðu tvíundarskrárna hverju hún var byggð með, spurðu svo bókasafnið hvaða útgáfu og uppsetningu það hlaði:

openvpn --version | head -3
openssl version -a

Lestu útgáfuúttakið vandlega, því dreifingar plástra sjálfgefin gildi. Sumar senda kerfisuppsetningu sem hækkar lágmarksstigið yfir sjálfgefið gildi upstream, og þess vegna hagar sama sniðið sér öðruvísi á tveimur vélum með eins OpenVPN-pökkum. Virka stefnan er sú sem keyrandi ferlið hlaði, ekki sú í handbók upstream.

Aðskildu svo lögin tvö sem fólk ruglar saman. OpenVPN hefur sína eigin TLS-stýringu, þar á meðal stillingu fyrir vottorðssnið og skýra dulritunarlista, og þær standa yfir öllu sem bókasafnið framfylgir. Að lækka stig bókasafnsins breytir ekki hvaða dulritun OpenVPN-uppsetningin þín listar, og að þrengja OpenVPN-listann hækkar ekki þröskuld bókasafnsins. Að vita hvaða lag hafnaði þér er það sem kemur í veg fyrir að lagfæringin verði gisk.

Aðskildu hlutina þrjá sem hægt er að hafna

Fyrsti kosturinn er auðkennisefni: vottorð þar sem lykillinn er of lítill eða undirskriftarreikniritið er ekki lengur samþykkt af stefnunni. Sá annar er lykilaskiptaparametur, eins og hópur sem stefnan telur of veikan. Sá þriðji er dulritunarsett sem stefnan útilokar. Öll þrjú geta valdið handabandsmistökum, og aðeins villutextinn og samningaviðræðustigið greina þau að.

Ekkert þessara þriggja er dulritun gagnarásarinnar. OpenVPN semur um göngudulritun sína aðskilið frá TLS-handabandinu, svo tenging sem tekst eftir breytingu á öryggisstigi segir ekkert um hvaða dulritun verndar gögnin þín. Ef spurningin sem þú ert í raun að spyrja snýst um trúnað gagnanna, ertu að horfa á alveg rangt hnapp.

Að lækka stigið víkkar samþykki fyrir öllum þremur inntökunum í einu. Þetta er það sem fólk missir af: lagfæringin sem hleypir gömlu vottorði inn hleypir líka veikum hópi og setti sem þú ætlaðir kannski ekki að leyfa. Ein villa olli breytingunni, og breytingin er víðtækari en villan. Þessi ósamhverfa er ástæðan fyrir því að takmörkuð undantekning er betri en sjálfgefið gildi fyrir allt umhverfið.

Breyttu inntakinu, ekki þröskuldinum

Geymdu nákvæmu villuna áður en þú snertir uppsetninguna, þar á meðal stigið sem tilkynnti hana og hlutinn sem hún nefndi. Vottorðsvandamál er leyst með því að skipta vottorðinu út fyrir eitthvað sem núverandi stefna samþykkir, sem venjulega þýðir að endurútgefa það hjá yfirvaldinu í stað þess að setja sama skrá aftur upp.

Ef hafnaða inntakið tilheyrir jafningja sem þú stjórnar ekki, er samtalið við eiganda hans um studd skiptiefni. Að lækka þinn eigin þröskuld til að koma til móts við kerfi sem enginn viðheldur færir kostnaðinn frá þeim til allra sem tengjast eftir þá.

Þar sem þjónninn framfylgir stefnunni, athugaðu hvort stilling á OpenVPN-stigi sé raunverulega orsökin áður en þú kennir bókasafninu um. Vottorðssnið sem krefst strangari flokks en uppsett vottorð getur uppfyllt mun mistakast hver sem öryggisstigið er, og að fjarlægja það snið er þrengri breyting en að slökkva á athugunum bókasafnsins.

Ef þú verður að lækka það, takmarkaðu og skráðu

Stundum er samþykkt samhæfnisundantekning rétta svarið, sérstaklega fyrir gamlan jafningja með dagsetta áform um brotthvarf. Takmarkaðu hana við þjónustuna sem þarf hana í stað alls hýsilsins: stillingarskrá fyrir hverja þjónustu eða sérstök OpenSSL-uppsetning hefur minni áhrifasvæði en útflutningur í almenna sniðinu.

Skrifaðu fjóra hluti með undantekningunni: nákvæmu stillinguna, eigandann sem samþykkti hana, viðskiptavinina sem hún hefur áhrif á og skilyrðið sem hún verður fjarlægð undir. Undantekning án brotthvarfsskilyrðis er varanleg veiking með tímabundinni réttlætingu við festa.

Afturköllun ætti að vera eitt skref sem þú hefur þegar prófað. Geymdu fyrri uppsetninguna, beittu breytingunni, staðfestu að þjónustan ræsist og vitaðu nákvæmlega hvaða skrá á að endurheimta ef næsta tenging hegðar sér öðruvísi en búist var við.

Staðfestu auðkenni og vernd eftir á

Árangursrík tenging sannar aðeins að endurskoðuðu skilyrðin hafi hleypt henni inn. Staðfestu að athugun hýsilsnafns og jafningja sé enn að sinna sínu, að vottorðið sem er í notkun sé það sem þú ætlaðir að setja upp og að samið gagnarás passi við stefnuna sem þú heldur að þú hafir.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL-tilvísunin um öryggisstig segir skýrt að ramminn beiti mörkum á lykla, undirskriftir, hópa og sett samtímis og að núllstig leyfi allt sem bakkallinn athugar. Það er umfangið sem þú breyttir og það er setningin sem vitna á í þegar einhver spyr hvort lagfæringin hafi verið þröng.

Afhendingin sem stenst endurskoðun segir hvaða stefna hafnaði hvaða inntaki, hvað var breytt og hvað helst samþykkt í kjölfarið. „Það virkar með SECLEVEL=0“ er athugun á einni tengingu, ekki öryggismat á uppsetningunni.