OpenSSL ішіндегі SHA1 қорытынды атаулары: ескі тізім нені білдіреді

Ескі қорытынды тізімдері криптографиялық шешімдердің транскрипті сияқты оқылады, бірақ олай емес. SHA1, DSA-SHA1-old немесе RSA-SHA1-2 сияқты атаулар ескі OpenSSL құрылымдарында қатар тұрады, өйткені кітапхана байланысты хэш машинериясының айналасында бірнеше кіру нүктесін тіркеген. Сол тізімдегі RSA немесе DSA белгісі OpenVPN пакетке не істегені туралы ештеңе айтпайды. Сіз оқып отырған нәрсе — кітапхананың түгендеуі, сессия жазбасы емес.

Кез келген қорытынды мағыналы болуы үшін үш нәрсені ажырату керек: тіркелген атау, оның астындағы қорытынды есебі және оны тұтынатын операция.

Тіркелім — интерфейс, күш рейтингі емес

OpenSSL 1.0.2 ішінде қорытынды тіркеу кестесі атауларды, бүркеншік аттарды және іске асыруларды бір файлда байланыстырады. Ескі DSS1 сипаттағышы ең айқын жағдай: ол SHA-1 шығысының ұзындығын хабарлайды және SHA-1 аяқтау рәсімін шақырады, бірақ мүлде басқа алгоритмді меңзейтін атауды алып жүреді. Сондықтан тіркелімдегі қосымша әріптер басқа хэш, ұзағырақ шығыс немесе жаңа қауіпсіздік деңгейін білдірмейді.

Сол дереккөз ескі шақырушылар үшін бүркеншік ат байланыстарын сақтайды, бұл тізімнің неге толы көрінетінін түсіндіреді. Бұл үйлесімділік құжаттамасы, ағымдағы OpenSSL провайдері бірдей атауларды ұсынады деген уәде емес.

Қолтаңба атаулары қолтаңба жасамайды

Қолтаңба қаңқасы қорытындыны басқа алгоритмнің интерфейсіне байлап, бар шақырушылар компиляциялана беруі мүмкін. Нағыз ашық кілттік қолтаңбаға кілт те, оны пайдаланатын қолтаңба қадамы да керек, және мәзірдегі атау екеуінің бірін де бермейді. RSA реңкті қорытынды жазбасы — шақырушы қолдана алатын атау, әр VPN пакеті RSA қолтаңбасын алып жүрді деген дәлел емес.

Дәл осы қадамда ескі жазбалар фольклорға сырғып кетеді. Пакеттердің қалай аутентификацияланғанын білу керек болса, механизмді таңдаған параметрді тауып, оның нақты іске қосып отырған нұсқаңызда не істейтінін оқыңыз. Сол шығарылыммен бірге берілген нұсқаулық беті алдыңыздағы бағдарламаға сәйкес келетін жалғыз сипаттама. Мұрағатталған нұсқаулықтар өздері жазылған шығарылымды сипаттайды, ал ол бірнеше атау конвенциясынан артта қалуы мүмкін.

Атауды тұтынған параметрді табыңыз

OpenVPN 2.6 құжаттайтын пакет аутентификациясы жағдайында auth HMAC пайдаланатын қорытындыны таңдайды, бұл сертификат қолтаңбасы емес, кілтті хабарлама аутентификациясының құрылымы. TLS сертификатының қолтаңба алгоритмі қол алысудың жеке қасиеті.

AEAD деректер шифрымен жеке auth параметрі деректер арнасына қолданылуын тоқтатады, ал оның tls-auth үшін рөлі жеке мәселе болып қалады. Сондықтан қорытынды тізімі ағымдағы пакеттерді қай хэш қорғағанын, қай TLS жиынтығы келісілгенін немесе серіктес сертификатының қалай қол қойылғанын айта алмайды. Тек тиімді конфигурация мен нұсқа ғана бұған жауап бере алады, және тек алдыңыздағы қосылым үшін.

Шын мәнінде не бар екенін жазыңыз

OpenVPN нұсқасын, қосылған крипто кітапханасын, профильдегі нақты параметрлерді және нақты қосылымның нәтижесін жазыңыз. Бұл жиынтық қорытынды мәзірінің скриншоты жауап бере алмайтын сұрақтарға жауап береді және келесі жаңартудан кейін де сақталады, өйткені әсерлерді емес, нұсқаларды атайды.

Ең бастысы, ескі бүркеншік атты атауы күштірек немесе нақтырақ естіледі деп таңдамаңыз. Бүкіл қосылым үшін қолдау көрсетілетін саясатты таңдаңыз және ескі атауларды кітапхананың бұрын өзін қалай ұсынғанының жазбасы ретінде қарастырыңыз.