SECLEVEL=0 симптомды емдейді, сертификатты емес

OpenVPN байланысы сәтсіз аяқталады, біреу SECLEVEL=0 қосатын бір жолды түзетуді табады, ал туннель көтеріледі. Өзгерген нәрсе сертификат та, шифрлар жиынтығы да емес; кітапхана деңгейіндегі қабылдау шегі жылжыды, ал процестің кейін жасайтынның бәрі жаңа шекараны мұра етеді. Осы жол ортадағы әрбір профильге көшірілмес бұрын мұны түсінуге тұрарлық.

Қай кітапхана мен қай саясат күшінде екенін анықтаңыз

SECLEVEL — OpenSSL ұғымы, сондықтан бірінші сұрақ: сіздің құрылымыңыз OpenSSL қолдана ма. OpenVPN бірнеше криптографиялық кітапханаға байланысуы мүмкін, ал солардың біреуіне қатысты параметр қалғандары үшін мағынасыз. Бинарлық файлдан немен құрылғанын сұраңыз, содан кейін кітапханадан қай нұсқа мен конфигурацияны жүктегенін сұраңыз:

openvpn --version | head -3
openssl version -a

Нұсқа шығысын мұқият оқыңыз, өйткені дистрибутивтер әдепкі мәндерді патчтайды. Кейбіреуі ең төменгі деңгейді upstream әдепкісінен жоғары көтеретін жүйелік конфигурацияны жеткізеді, сондықтан бірдей OpenVPN пакеттері бар екі машинада бір профиль түрліше әрекет етеді. Қолданыстағы саясат — жұмыс істеп тұрған процесс жүктеген саясат, upstream нұсқаулығындағы емес.

Содан кейін адамдар шатастыратын екі қабатты бөліңіз. OpenVPN-ның өз TLS бақылаулары бар, оның ішінде сертификат профилінің параметрі мен айқын шифр тізімдері, және олар кітапхана талап ететіннің бәрінен жоғары тұрады. Кітапхана деңгейін төмендету сіздің OpenVPN конфигурацияңыз қандай шифрларды тізімдейтінін өзгертпейді, ал OpenVPN тізімін тарылту кітапхана шегін көтермейді. Қай қабаттың сізден бас тартқанын білу — түзетуді болжам күйінде қалдырмайтын нәрсе.

Қабылданбауы мүмкін үш нәрсені бөліңіз

Бірінші үміткер — сәйкестендіру материалы: кілті тым кішкентай сертификат немесе қолтаңба алгоритмін саясат енді қабылдамайтын сертификат. Екіншісі — кілт алмасу параметрі, мысалы, саясат тым әлсіз деп санайтын топ. Үшіншісі — саясат жоққа шығаратын шифрлар жиынтығы. Үшеуі де қол алысу сәтсіздігін тудыруы мүмкін, және оларды тек қате мәтіні мен келіссөз кезеңі ажыратады.

Осы үшеудің ешқайсысы деректер арнасының шифры емес. OpenVPN туннель шифрлауы туралы TLS қол алысуынан бөлек келіседі, сондықтан қауіпсіздік деңгейі өзгергеннен кейін сәтті болған байланыс деректеріңізді қай шифр қорғайтыны туралы ештеңе айтпайды. Егер шын мәнінде сұрап отырған сұрағыңыз деректердің құпиялылығы туралы болса, сіз мүлдем дұрыс емес тетікке қарап отырсыз.

Деңгейді төмендету үш енгізудің бәрі үшін қабылдауды бір уақытта кеңейтеді. Адамдар байқамайтын дәл осы бөлік: ескі сертификатты өткізетін түзету әлсіз топты және сіз рұқсат етпек болмаған жиынтықты да өткізеді. Өзгеріске бір қате себеп болды, ал өзгеріс қатеден кеңірек. Осы асимметрия — шектелген ерекшелік бүкіл ортаның әдепкі мәнінен артық болуының себебі.

Енгізуді өзгертіңіз, шекті емес

Конфигурацияға қол тигізбес бұрын нақты қатені сақтаңыз, оның ішінде оны хабарлаған кезең мен ол атаған нысан. Сертификат мәселесі оны ағымдағы саясат қабылдайтын нәрсемен ауыстыру арқылы шешіледі, бұл әдетте оны органнан қайта шығаруды білдіреді, сол файлды қайта орнатуды емес.

Егер қабылданбаған енгізу сіз бақыламайтын әріптеске тиесілі болса, әңгіме сол әріптестің иесімен қолдау көрсетілген ауыстыру материалы туралы. Ешкім күтпейтін жүйені сыйдыру үшін өз шегіңізді төмендету шығынды олардан кейін қосылатындардың бәріне аударады.

Сервер саясатты қолданатын жерде кітапхананы кінәламас бұрын OpenVPN деңгейіндегі параметрдің нақты себеп екенін тексеріңіз. Орнатылған сертификат қанағаттандыра алмайтын қатаң сыныпты талап ететін сертификат профилі қауіпсіздік деңгейі қандай болса да сәтсіз аяқталады, ал сол профильді алып тастау кітапхана тексерістерін өшіруге қарағанда тар өзгеріс.

Егер төмендету қажет болса, шектеп, жазып қойыңыз

Кейде мақұлданған үйлесімділік ерекшелігі дұрыс жауап болып табылады, әсіресе күні бар шығару жоспары бар ескі әріптес үшін. Оны бүкіл хостқа емес, қажет ететін қызметке шектеңіз: қызметке тән конфигурация файлы немесе арнайы OpenSSL конфигурациясы ғаламдық профильдегі экспортқа қарағанда кішірек әсер радиусына ие.

Ерекшелікпен бірге төрт нәрсені жазыңыз: нақты параметрді, оны мақұлдаған иесін, әсер ететін клиенттерді және ол жойылатын шартты. Шығару шарты жоқ ерекшелік — уақытша негіздемесі қоса берілген тұрақты әлсірету.

Қайтару сіз бұрын сынаған бір қадам болуы керек. Алдыңғы конфигурацияны сақтаңыз, өзгерістерді қолданыңыз, қызметтің іске қосылатынын растаңыз және келесі байланыс күткеннен өзгеше әрекет етсе, қай файлды қалпына келтіру керектігін нақты біліңіз.

Содан кейін сәйкестік пен қорғанысты тексеріңіз

Сәтті байланыс тек қайта қаралған шарттардың оны жібергенін дәлелдейді. Хост атауы мен әріптесті тексеру әлі де өз жұмысын істеп жатқанын, қолданылып жатқан сертификаттың орнатпақ болғаныңыз екенін және келісілген деректер арнасы сіз ойлаған саясатқа сәйкес келетінін растаңыз.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL қауіпсіздік деңгейлерінің анықтамасы шеңбердің кілттерге, қолтаңбаларға, топтарға және жиынтықтарға шектеулерді бірге қолданатынын және нөлдік деңгей кері шақыру тексеретіннің бәріне рұқсат беретінін айқын айтады. Бұл — өзгерткеніңіздің ауқымы, және түзету тар болды ма деп сұрағанда дәл осы сөйлемді келтіреді.

Аудиттен өтетін тапсыру қай саясаттың қай енгізуді қабылдамағанын, не өзгергенін және нәтижесінде не қабылданатынын айтады. „Ол SECLEVEL=0-мен жұмыс істейді“ — бір байланыс туралы байқау, орнатудың қауіпсіздік бағасы емес.