ca md too weak: ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮರುನೀಡಬೇಕೇ ಅಥವಾ ಮಟ್ಟವನ್ನು ಇಳಿಸಬೇಕೇ?

OpenVPN ಕ್ಲೈಂಟ್ ಕಳೆದ ತಿಂಗಳು ಕೆಲಸ ಮಾಡುತ್ತಿತ್ತು, ಈಗ ಪ್ರಾರಂಭದಲ್ಲಿ ca md too weak ಜೊತೆ ವಿಫಲವಾಗುತ್ತದೆ, ಆದರೆ ಡಿಸ್ಕ್‌ನಲ್ಲಿರುವ ಪ್ರೊಫೈಲ್ ಕೆಲಸ ಮಾಡಿದ್ದುದರೊಂದಿಗೆ ಬೈಟ್‌ನಿಂದ ಬೈಟ್ ಒಂದೇ ಆಗಿದೆ. ಸಂದೇಶವು ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರದ ಪ್ರಮಾಣಪತ್ರದ ಮೇಲಿನ ಸಹಿಯ ಬಗ್ಗೆ, ಡೇಟಾ ಸೈಫರ್, auth ಸಾರಾಂಶ ಅಥವಾ ಖಾತೆಯ ಗುಪ್ತಪದದ ಬಗ್ಗೆ ಅಲ್ಲ. ಪರಿಹಾರವು ಹೊಸ ಗುರುತಿನ ಸಾಮಗ್ರಿ, ಹೊಸ ಸರಪಳಿ ಅಥವಾ ಉದ್ದೇಶಪೂರ್ವಕ ನೀತಿ ಬದಲಾವಣೆ ಎಂಬುದನ್ನು ಮೂರು ಷರತ್ತುಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ. ಅವನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ, ಆಗ ಹೋಸ್ಟ್‌ನ ಪ್ರತಿ TLS ಸಂಪರ್ಕವನ್ನೂ ದುರ್ಬಲಗೊಳಿಸಿ ಸುರಂಗ ಮರಳುವ ಸಾಮಾನ್ಯ ಫಲಿತಾಂಶವನ್ನು ತಪ್ಪಿಸುತ್ತೀರಿ.

ದೋಷವು ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಹೆಸರಿಸುತ್ತದೆ

OpenSSL ಈ ಪರಿಶೀಲನಾ ದೋಷವನ್ನು ಸರಪಳಿ ಕಟ್ಟುವಾಗ ಎತ್ತುತ್ತದೆ, CA ಆಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಪ್ರಮಾಣಪತ್ರವು ಗ್ರಂಥಾಲಯದ ಭದ್ರತಾ ಮಟ್ಟವು ಇನ್ನು ಮುಂದೆ ಸ್ವೀಕರಿಸದ ಸಹಿ ಸಾರಾಂಶವನ್ನು ಹೊಂದಿದ್ದಾಗ. MD5 ಡೀಫಾಲ್ಟ್ ಮಟ್ಟದಲ್ಲಿ ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ, ಮತ್ತು ಮಟ್ಟವನ್ನು ಹೆಚ್ಚಿಸಿದಾಗ SHA-1 ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ. ಇಲ್ಲಿ ಎಲೆ ಪ್ರಮಾಣಪತ್ರದ ಸಾರಾಂಶಕ್ಕಿಂತ ಅದಕ್ಕೆ ಸಹಿ ಹಾಕುವ ನೀಡುಗರ ಸಾರಾಂಶ ಹೆಚ್ಚು ಮುಖ್ಯ. ಅದೇ ನೀತಿಯು ನೀಡಿದ ದಿನ ಸಾಮಾನ್ಯವಾಗಿದ್ದ ಮೂಲವನ್ನೂ ನಿರಾಕರಿಸಬಹುದು.

ಆದ್ದರಿಂದ auth ಅಥವಾ data-ciphers ಸಂಪಾದಿಸುವುದರಿಂದ ಈ ವೈಫಲ್ಯಕ್ಕೆ ಏನೂ ಆಗುವುದಿಲ್ಲ. ಆ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಹ್ಯಾಂಡ್‌ಶೇಕ್ ನಂತರ ಪ್ಯಾಕೆಟ್‌ಗಳು ಹೇಗೆ ರಕ್ಷಿಸಲ್ಪಡುತ್ತವೆ ಎಂಬುದನ್ನು ನಿಯಂತ್ರಿಸುತ್ತವೆ, ಆದರೆ ನಿರಾಕರಿಸಲ್ಪಟ್ಟ ವಸ್ತುವು ಸುರಂಗ ಇರುವ ಮೊದಲೇ ಪರಿಶೀಲಿಸಲಾಗುವ ಗುರುತಿನ ದಾಖಲೆ. ಪ್ರಮಾಣಪತ್ರವು ತನ್ನ ಮಾನ್ಯತಾ ಅವಧಿಯ ಒಳಗೆ ಆರಾಮವಾಗಿ ಇರಬಹುದು ಮತ್ತು ಆದರೂ ಗ್ರಂಥಾಲಯ ಸ್ವೀಕರಿಸದ ಸಹಿಯನ್ನು ಹೊಂದಿರಬಹುದು.

ಪರಿಶೀಲನೆಗಳನ್ನು ಮನಸ್ಸಿನಲ್ಲಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ, ದೋಷವು ನಿಗೂಢವಾಗಿ ಕಾಣುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಮಾನ್ಯತಾ ದಿನಾಂಕಗಳು, ಕೀ ಬಳಕೆ ಮತ್ತು ಸಹಿ ಸಾರಾಂಶ ಸ್ವತಂತ್ರ ಪರೀಕ್ಷೆಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ನಿಖರವಾಗಿ ಒಂದು ಈಗಷ್ಟೇ ವಿಫಲವಾಗಿದೆ.

ಮೊದಲ ಷರತ್ತು: ನಿರಾಕರಿಸಲ್ಪಟ್ಟ ವಸ್ತು ಮೂಲವೇ?

ಪ್ರೊಫೈಲ್‌ನ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನೂ ಮುದ್ರಿಸಿ subject ಮತ್ತು issuer ಕ್ಷೇತ್ರಗಳನ್ನು ಓದಿ. ಸ್ವಯಂ-ಸಹಿ ಮೂಲವು ಎರಡರಲ್ಲೂ ಒಂದೇ ಮೌಲ್ಯವನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ಸಹಿ ಅಲ್ಗಾರಿದಮ್ ಇಡೀ ಸರಪಳಿ ನಿಂತಿರುವ ಆಧಾರ. ದುರ್ಬಲ ಸಾರಾಂಶ ಅಲ್ಲಿದ್ದರೆ, ಅದರ ಕೆಳಗಿನ ಪ್ರತಿ ಎಲೆಯೂ ಸಮಸ್ಯೆಯನ್ನು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತದೆ. ನಂತರದ ಹೋಲಿಕೆ ನೆನಪಿನಿಂದ ಅಲ್ಲದೆ ಯಾಂತ್ರಿಕವಾಗಿರಲು ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು subject ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ.

ಒಟ್ಟುಗೂಡಿಸಿದ CA ಫೈಲ್‌ಗಳಲ್ಲಿ ಹಲವು ಬ್ಲಾಕ್‌ಗಳಿರುತ್ತವೆ, ಆದ್ದರಿಂದ ಮೊದಲನೆಯದೇ ಅಪರಾಧಿ ಎಂದು ಊಹಿಸುವ ಬದಲು ನಿಜವಾಗಿ ಲೋಡ್ ಆಗುವ ಬ್ಲಾಕ್ ಅನ್ನು ಗುರುತಿಸಿ. ಆಜ್ಞೆ openssl x509 -in ca.pem -noout -subject -issuer -text ಒಂದು ಸಮಯಕ್ಕೆ ಒಂದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ವಿವರಿಸುತ್ತದೆ, ಅಂದರೆ ಕಟ್ಟಿನಲ್ಲಿ ಹೆಚ್ಚು ಇದ್ದರೆ ಮೊದಲು ಅದನ್ನು ಒಡೆಯಬೇಕು. ಮುದ್ರಿತ ಸಹಿ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ಮೂಲ ಸೃಷ್ಟಿಯಾದ ಯುಗದಿಂದ ನಿರೀಕ್ಷಿಸುವ ಸಾರಾಂಶದೊಂದಿಗೆ ಹೋಲಿಸಿ.

ದುರ್ಬಲ ಮೂಲದ ಅಡಿಯಲ್ಲಿ SHA-256 ನಿಂದ ಸಹಿ ಮಾಡಿದ ಎಲೆಯೂ ವಿಫಲವಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಸರಪಳಿ ಪರಿಶೀಲನೆ ಮೇಲಿನವರೆಗೂ ಹೋಗುತ್ತದೆ. ಆ ಕ್ರಮವೇ ಮುಂದಿನ ಷರತ್ತನ್ನು ಮುಖ್ಯವಾಗಿಸುತ್ತದೆ.

ಎರಡನೇ ಷರತ್ತು: ನೀಡುಗರನ್ನು ನೀವು ನಿಯಂತ್ರಿಸುತ್ತೀರಾ?

ಮೂಲ ನಿಮ್ಮ ಸಂಸ್ಥೆಯದ್ದಾದರೆ, ಶಾಶ್ವತ ಪರಿಹಾರವೆಂದರೆ ಆಧುನಿಕ ಸಾರಾಂಶದೊಂದಿಗೆ ಹೊಸ ಮೂಲ ಮತ್ತು ಮರುನೀಡಿದ ಎಲೆಗಳು, ಒಂದೇ ಪ್ರೊಫೈಲ್ ನವೀಕರಣವಾಗಿ ನೀಡಲಾಗುತ್ತದೆ. ಅದಕ್ಕೆ ನಿರ್ವಹಣಾ ಅವಧಿ ಮತ್ತು ಅದೇ ದಿನ ನವೀಕರಣ ತೆಗೆದುಕೊಳ್ಳಲಾಗದ ಸಾಧನಗಳಿಗೆ ಯೋಜನೆ ಬೇಕು.

ಸರಪಳಿಯನ್ನು ಮೂರನೇ ಪಕ್ಷ ನೀಡಿದ್ದರೆ, ಪರಿಹಾರವು ಆ ನಿರ್ವಾಹಕರಿಗೆ ಮಾಡುವ ವಿನಂತಿ, ಮತ್ತು ಸ್ಥಳೀಯವಾಗಿ ಉಪಯುಕ್ತವಾದ ಏಕೈಕ ಕ್ರಮ ಹಳೆಯ ಸಾಮಗ್ರಿಯ ಮೇಲಿನ ಅವಲಂಬನೆಯನ್ನು ನಿಲ್ಲಿಸುವುದು. PEM ಪಠ್ಯವನ್ನು ಸಂಪಾದಿಸುವುದು ಅಥವಾ ಫೈಲ್ ಅನ್ನು ಮತ್ತೆ ಉಳಿಸುವುದು ಸಹಿ ಆವರಿಸುವ ಯಾವುದನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ.

ಒಂದು ಮಧ್ಯಂತರ ಸಂದರ್ಭವು ಹೆಸರಿಗೆ ಅರ್ಹ: ಪ್ರಸ್ತುತ ಡೀಫಾಲ್ಟ್‌ಗಳಿಗಿಂತ ಹಳೆಯದಾದರೂ ಇತರ ವ್ಯವಸ್ಥೆಗಳು ನಂಬುವ ಸಾಮಗ್ರಿಗೆ ಇನ್ನೂ ಸಹಿ ಹಾಕುವ ಆಂತರಿಕ ಮೂಲ. ಅದನ್ನು ಬದಲಿಸುವುದೆಂದರೆ ಪ್ರತಿ ಬಳಕೆದಾರನ ಪರಿಶೀಲನೆ, ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಬೆರಳಚ್ಚಿನಿಂದ ಪಿನ್ ಮಾಡುವ ಸಾಧನಗಳೂ ಸೇರಿ. ಬದಲಾವಣೆ ನಿಗದಿಪಡಿಸುವ ಮೊದಲು ಆ ಬಳಕೆದಾರರನ್ನು ಎಣಿಸಿ, ಏಕೆಂದರೆ ಒಂದನ್ನು ತಪ್ಪಿಸುವ ಮೂಲ ಬದಲಾವಣೆ ಪ್ರಾರಂಭದ ದೋಷವನ್ನು ಅಡಚಣೆಯೊಂದಿಗೆ ವಿನಿಮಯ ಮಾಡುತ್ತದೆ.

ಮೂರನೇ ಷರತ್ತು: ಮಟ್ಟ ಇಳಿಸುವುದು ಇನ್ನೇನನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ

ಭದ್ರತಾ ಮಟ್ಟವನ್ನು ಇಳಿಸುವುದು, ಅಥವಾ OpenVPN ನ ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರ ಪ್ರೊಫೈಲ್ ಆಯ್ಕೆ ಮಾಡುವುದು, ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಹಳೆಯ ಸಾರಾಂಶವನ್ನು ಸ್ವೀಕರಿಸುವಂತೆ ಮಾಡುತ್ತದೆ. ಅದು ಅದೇ ಗ್ರಂಥಾಲಯದ ಇತರ ಪರಿಶೀಲನೆಗಳನ್ನೂ ಸಡಿಲಗೊಳಿಸುತ್ತದೆ, ಆ ಪ್ರಕ್ರಿಯೆ ಮಾಡುವ ಪ್ರತಿ ಸಂಪರ್ಕಕ್ಕೂ.

ಪ್ರಯೋಗಾಲಯದಲ್ಲಿ ಅಥವಾ ಬದಲಿ ಸಾಮಗ್ರಿ ಸಿದ್ಧವಾಗುವವರೆಗೆ ಸಣ್ಣ ಸೇತುವೆಯಾಗಿ ಇದು ಸಮರ್ಥನೀಯವಾಗಬಹುದು, ಷರತ್ತು ಒಂದೇ ಪ್ರೊಫೈಲ್‌ಗೆ ಸೀಮಿತವಾಗಿದ್ದು ಅಂತ್ಯ ದಿನಾಂಕ ಹೊಂದಿದರೆ. ಹಂಚಿದ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಶಾಶ್ವತ ಸೆಟ್ಟಿಂಗ್ ಆಗಿ ಅದು ಅಲ್ಲಿನ ಪ್ರತಿ TLS ಕ್ಲೈಂಟ್ ಏನನ್ನು ನಂಬುತ್ತದೆ ಎಂಬುದನ್ನು ಮೌನವಾಗಿ ವಿಸ್ತರಿಸುತ್ತದೆ.

ಅಪವಾದವನ್ನು ಮಾಲೀಕ ಮತ್ತು ತೆಗೆಯುವ ಹಂತದೊಂದಿಗೆ ಬರೆಯಿರಿ. ದಾಖಲಿಸದ ಮಟ್ಟ ಬದಲಾವಣೆಯನ್ನು ಆರು ತಿಂಗಳ ನಂತರ ತಪ್ಪಿನಿಂದ ಪ್ರತ್ಯೇಕಿಸಲಾಗದು, ಮತ್ತು ಮುಂದಿನ ಇಂಜಿನಿಯರ್‌ಗೆ ಅದು ಒಮ್ಮೆ ನಿರ್ಣಯವಾಗಿತ್ತು ಎಂದು ತಿಳಿಯದು.

ನಿರ್ಣಯ, ನಿಯಮವಾಗಿ ಬರೆಯಲಾಗಿದೆ

ನೀಡುಗರನ್ನು ನಿಯಂತ್ರಿಸಿ ಅವರ ಬಳಕೆದಾರರನ್ನು ಪಟ್ಟಿ ಮಾಡಲು ಸಾಧ್ಯವಾದಾಗ ಸರಪಳಿಯನ್ನು ಬದಲಿಸಿ. ಸಾಧ್ಯವಿಲ್ಲದಿದ್ದರೆ ನೀಡುಗರಿಗೆ ಏರಿಸಿ. ಮಟ್ಟವನ್ನು ದಿನಾಂಕಿತ, ಸೀಮಿತ ಅಪವಾದವಾಗಿ ಮಾತ್ರ ಇಳಿಸಿ, ಬದಲಿ ಈಗಾಗಲೇ ನಿಗದಿಯಾಗಿರಬೇಕು. ಬೇರೆ ಯಾವುದೇ ಕ್ರಮ ಅದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಜಾಗದಲ್ಲಿ ಬಿಟ್ಟು ಅಪಾಯವನ್ನು ಕಡಿಮೆ ಕಾಣುವ ಸ್ಥಳಕ್ಕೆ ಸರಿಸುತ್ತದೆ.

ನಂತರ ಸ್ವಚ್ಛ ಕ್ಲೈಂಟ್‌ನಿಂದ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ, ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಪೂರ್ಣಗೊಳ್ಳುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಮತ್ತು ಇನ್ನೂ ವಿಫಲವಾದರೆ ನಿರಾಕರಣೆಯ ನಿಖರ ಪಠ್ಯವನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ. ನಿಖರ ದೋಷ ಸಂದೇಶ ಮುಂದಿನ ಪದರದ ಮಾಲೀಕರಿಗೆ ನೀಡಬಹುದಾದ ಅಗ್ಗದ ವಸ್ತು.