Бір ескі теңдес TLS 1.0-ды мәжбүрлейді: ерекшелікті шекте, хостты емес

Бір ескі құрылғы пайда болып, қосыла алмайды, ал ең жылдам көрінетін жөндеу — байланыс орнағанша бүкіл хостты әлсірету. Бұл айырбас сол сәтте көрінбейді және іс жүзінде тұрақты болып қалады, өйткені ешкім ақыры жұмыс істеп тұрған шекті алып тастамайды. Бұл қысымды екі мүлде басқа ақау жасайды, және олардың тек біреуі ғана шифрларға қатысты. Алдымен ақауды реттеңіз, содан кейін ерекшелікті тарай алмайтын жерге қойыңыз.

Директиваны өзгертуден бұрын ақауды екіге бөліңіз

Ортақ шифр жоқ немесе протокол нұсқасы қолдау көрсетілмейді деген сервер журналының жолы басқару арнасынан келеді: екі жақ келіссөздің өзін қалай қорғау керектігі туралы келісе алмады. Сервер сертификатын тексерудің ешбір әдісі қосылмаған деген клиент жолы мүлде басқа жерден келеді, өйткені ол клиент кім жауап бергенін мүлдем тексермейді. Деректер шифрын өзгерту екінші жағдайға ешқандай әсер етпейді, ал рөлді тексеруді қосу біріншісіне әсер етпейді.

Ажырау алдындағы соңғы жолды емес, әр жақтан ең ерте істен шыққан жолды алыңыз, өйткені соңғы жол әдетте салдар ғана. Содан кейін клиент шын мәнінде қай файлды ашқанын анықтаңыз: импортталған профиль жиі әртүрлі көрсетілетін атаулармен екі рет болады, ал ешкім оқымайтын көшірмені өңдеу сенімді «өзгеріс жоқ» туғызады. Жұмыс істеп тұрған процесс іске қосылған кездегі параметрлерді сақтайды, сондықтан сақталған файл жүктелген файл емес. Төмендегі командалар сол бір әрекеттің клиенттік келіссөзін сервер көрінісімен қатар көрсетеді.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Әлсіздеу шек үшін екінші тыңдаушы — адал орын

Құрылғы 2.5 дейінгі деректер арнасымен TLS 1.0-да тоқтап қалса, сервер басқару арнасының төменірек шегін және ескі клиент танитын деректер шифрын ұсынуы керек. Қосалқы директива дәл сол теңдес үшін бар, ал шифрлар тізімі заманауи клиенттерді заманауи жинақтарда ұстайды. Екі директива да пайдаланушыға немесе қосылымға емес, тыңдаушыға тиесілі, және кейін оларды ешбір клиенттік параметр тарылтпайды. Сондықтан негізгі порттағы бір мұралық құрылғы сол портты бөлісетін әрбір теңдес туралы шешім.

Платформа рұқсат еткен жерде мұралық тыңдаушыны бөлек портта жеке дана ретінде іске қосыңыз, бұл портқа тек құрылғы мекенжайынан рұқсат беріңіз және негізгі қызметті тиіспеңіз. Екінші тыңдаушының не үшін бар екенін оның конфигурациясы бар файлға жазып қойыңыз, әйтпесе болашақ тазалау оны қалдық қоқыс деп оқиды. Бөлу тек әлсіздеу шек құрылғы бітетін жерде бітсе ғана мәнге ие.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Ескі провайдер сертификаты шын мәнінде нені бұзады

Тексеру қатесі — бұл рөлдік байланыстың жоқтығы: онсыз клиент сенімді CA-ға тізбектелетін кез келген сертификатты қабылдайды, ол сервер үшін берілген-берілмегеніне қарамастан. Алдымен сертификатты сервер рөліне байлаңыз және байланысты реттеу тұтқасы емес, талап ретінде қарастырыңыз. Осы қадамнан кейін де істен шығатын профильдің ғана шынайы сертификат мәселесі бар.

Кілт өлшемі немесе қолтаңба алгоритмі OpenSSL-дың әдепкі саясатына енді сай келмейтін ескі провайдер сертификаты — басқару арнасында қауіпсіздік деңгейін шектеулі өзгертудің жайы. Онда деңгейді төмендету тексеруді өшірмейді және оны ешқашан бос CA-мен, өшірілген тексерумен немесе тексерілмеген хост атымен біріктіруге болмайды. Жолды оны қажет ететін бір ғана профильдің ішінде ұстаңыз; жеңілдетілген OpenSSL конфигурациясын ғаламдық экспорттау машинадағы әрбір бағдарламаға сол жеңілдетуді береді.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Келісілген мәндерді оқыңыз, баннерді емес

verbosity 4 деңгейінде екі жақ та өздері келіскен басқару арнасының TLS нұсқасы мен шифрын және сеанстың деректер шифрын шығарады. Инициализация баннерін емес, сол жолдарды оқыңыз, өйткені баннер сәттілікті хабарлайды, ал оның шарттарын емес. Содан кейін заманауи клиентті негізгі тыңдаушыға қайта қосып, ол әлі де заманауи жинаққа түсетінін растаңыз, өйткені ортақ конфигурацияға сіңіп кеткен ерекшелік ең алдымен осында көрінеді. Көшіріп алған мәндер келесі шолудың базасына айналады.

Ескі құрылғыны жеке сынап көріңіз: ол қосылуы керек және журналдарда әлсіздеу параметрлерді көрсететін жалғыз сеанс болуы тиіс. Егер екінші теңдес те ескі жинақты келіссе, ерекшелік ойлағаннан кеңірек және тыңдаушыларды бөлу шын мәнінде болмаған. Тек қорытындыны емес, екі байқауды да жазып алыңыз.

Әр ерекшелікке ие және күн қажет

Алып тастау шарты жоқ ерекшелік үнсіз әдепкіге айналады, сондықтан құрылғыны, иесін, себебін және ол кететін күнді оны ақтайтын конфигурацияның жанына қойыңыз. Сол жол болмаса, әлсіздеу шек оны қажет еткен жабдықтан ұзақ өмір сүреді.

Мақсат — клиентті ауыстыру немесе провайдерден ағымдағы профиль сұрау; ерекшелік — дизайн емес, кідіріс. Құрылғы қызметтен шыққанда, тыңдаушы мен профильді бір өзгерісте жойыңыз, сонда ешбір жартысы жұмысын жалғастырмайды. Мұның ешқайсысы ескі параметрлерді қауіпсіз етпейді, ол тек бір құрылғының шегін бәрінің базасына айналудан сақтайды.