OpenVPN TLS ಸೈಫರ್ ದೋಷ: ಮೊದಲು ಎರಡೂ ಬದಿಗಳನ್ನು ಹೋಲಿಸಿ

«ಸಾಮಾನ್ಯ ಸೈಫರ್ ಇಲ್ಲ» ದೋಷವು ಒಂದೇ ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸಬೇಕು ಎಂಬಂತೆ ಕೇಳಿಸುತ್ತದೆ, ಆದರೆ ಹೆಚ್ಚಿನ ಜನರು ಬದಲಿಸುವ ಸೆಟ್ಟಿಂಗ್ ತಪ್ಪಾದದ್ದು. OpenVPN TLS ಹ್ಯಾಂಡ್ಶೇಕ್ ಮಾಡುವ ನಿಯಂತ್ರಣ ಚಾನಲಿಗೆ ಮತ್ತು ಟನಲ್ ಒಳಗೆ ಪ್ಯಾಕೆಟ್ ಸಾಗಿಸುವ ಡೇಟಾ ಚಾನಲಿಗೆ ಪ್ರತ್ಯೇಕ ನೀತಿಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ದೋಷವು ಮೊದಲನೆಯದನ್ನು ಹೆಸರಿಸುತ್ತದೆ ಆದರೆ ಜನರು ಎರಡನೆಯದನ್ನು ಸಂಪಾದಿಸುತ್ತಾರೆ. ಪ್ರತಿ ಬದಿಯು ಏನನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಸರಿಯಾದ ಕ್ರಮದಲ್ಲಿ ಹೋಲಿಸುವುದು ಊಹೆಯನ್ನು ಎರಡು ಅಥವಾ ಮೂರು ನಿರ್ಣಯಗಳಾಗಿ ಬದಲಿಸುತ್ತದೆ: ಆವೃತ್ತಿ, ನಂತರ ಸ್ಯೂಟ್ ಪಟ್ಟಿ, ನಂತರ ರುಜುವಾತುಗಳು.

ಈ ಕ್ರಮ ತಪ್ಪಾದರೆ, ಎಂದಿಗೂ ನೋಡದ ಪಟ್ಟಿಗೆ AES ಹೆಸರು ಸೇರಿಸುವುದರಲ್ಲಿ ಒಂದು ಗಂಟೆ ಕಳೆಯಬಹುದು.

ಎರಡು ಸೈಫರ್ ಪಟ್ಟಿಗಳು, ಮತ್ತು ಹ್ಯಾಂಡ್ಶೇಕ್ ಮುರಿಯುವುದು ಒಂದೇ

ನಿಯಂತ್ರಣ ಚಾನಲ್ TLS ಅವಧಿಯ ಮೇಲೆ ಮಾತುಕತೆ ನಡೆಸುತ್ತದೆ, ಮತ್ತು ಅದರ ನೀತಿಯನ್ನು ಇದರಿಂದ ಬರೆಯಲಾಗುತ್ತದೆ: tls-cipher TLS 1.2 ಗಾಗಿ ಮತ್ತು tls-ciphersuites TLS 1.3 ಗಾಗಿ. ಡೇಟಾ ಚಾನಲ್ ಪ್ರತ್ಯೇಕವಾಗಿ ಇದರಿಂದ ಸಂರಚಿಸಲಾಗುತ್ತದೆ: data-ciphers, ಇಲ್ಲಿ ಹೊಂದಾಣಿಕೆ ಇಲ್ಲದಿದ್ದರೆ ಸಂಪರ್ಕ ಸ್ಥಾಪನೆಯಾಗಿ ನಂತರ ಸಂಚಾರ ಸಾಗಿಸಲಾಗದ ಸ್ಥಿತಿ ಉಂಟಾಗುತ್ತದೆ. ಎರಡೂ ಸೈಫರ್ ಹೆಸರಿಸುವ ದೋಷಗಳನ್ನು ನೀಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಅವು ಗೊಂದಲಕ್ಕೊಳಗಾಗುತ್ತವೆ. ಎಂದಿಗೂ ಪೂರ್ಣಗೊಳ್ಳದ ಹ್ಯಾಂಡ್ಶೇಕ್ ನಿಯಂತ್ರಣ ಚಾನಲ್ ಕಡೆ ಸೂಚಿಸುತ್ತದೆ, ಆದರೆ ಸ್ಥಾಪಿತ ಟನಲ್ ಪ್ಯಾಕೆಟ್ ಬೀಳಿಸಿದರೆ ಅದು ಡೇಟಾ ಚಾನಲ್ ಕಡೆ ಸೂಚಿಸುತ್ತದೆ.

ಮೊದಲ ಸಾಲಿನ ಬದಲು ಇಡೀ ಸಂದೇಶವನ್ನು ಓದಿ. ಆವೃತ್ತಿ ಹೊಂದಾಣಿಕೆ, ಕಾಣೆಯಾದ ಸ್ಯೂಟ್, ಬದಿಯು ನಿರಾಕರಿಸುವ ಪ್ರಮಾಣಪತ್ರ ಸಹಿ ಅಲ್ಗಾರಿದಮ್, ಮತ್ತು ಹೋಸ್ಟ್ ಹೆಸರು ಪರಿಶೀಲನೆಯ ವೈಫಲ್ಯ ಎಲ್ಲವೂ TLS ದೋಷದಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತವೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದೇ ನಿಮ್ಮ ಸ್ಯೂಟ್ ಪಟ್ಟಿಗೆ ಸಂಬಂಧಿಸಿದೆ. ಈ ವರ್ಗಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸುವುದೇ ರೋಗನಿರ್ಣಯದ ಹೆಚ್ಚಿನ ಭಾಗ.

ಸ್ಯೂಟ್ ಹೋಲಿಸುವ ಮೊದಲು ಆವೃತ್ತಿಗಳನ್ನು ಹೋಲಿಸಿ

TLS 1.2 ಗೆ ಸೀಮಿತವಾದ ಬದಿ ಮತ್ತು 1.3 ಅಗತ್ಯವೆಂದು ಪರಿಗಣಿಸುವ ಬದಿ ಯಾವುದೇ ಆವೃತ್ತಿಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಸೈಫರ್ ಸ್ಟ್ರಿಂಗ್ ಅದನ್ನು ಸೇತುವೆ ಮಾಡುವುದಿಲ್ಲ. ಎರಡೂ ಬದಿಗಳಲ್ಲಿ tls-version-min ಮತ್ತು tls-version-max ದಾಖಲಿಸಿ, ಅಥವಾ ಬಳಕೆಯಲ್ಲಿರುವ ಬಿಲ್ಡ್ಗಳ ಡೀಫಾಲ್ಟ್ ಮೌಲ್ಯಗಳನ್ನು, ಏಕೆಂದರೆ ವಿತರಣೆಯ OpenSSL ನೀತಿಯು ಯಾವುದೇ OpenVPN ಆಯ್ಕೆ ಹೇಳದೆಯೇ ಕನಿಷ್ಠ ಮಟ್ಟವನ್ನು ಹೆಚ್ಚಿಸಬಹುದು. ಒಂದು ಬದಿ ಉಪಕರಣ ಅಥವಾ ತೃತೀಯ ಪಕ್ಷದ ಕ್ಲೈಂಟ್ ಆಗಿದ್ದರೆ, ಅದರ ವಿಂಡೋ ಅದರ ಫರ್ಮ್ವೇರ್ ಅನುಮತಿಸುವುದು. ವಿಂಡೋಗಳು ಒಂದಕ್ಕೊಂದು ತಾಗಿದಾಗ ಮಾತ್ರ ಸ್ಯೂಟ್ ಹೋಲಿಕೆಗೆ ಅರ್ಥವಿದೆ.

ಆ ದಾಖಲೆಗಳು ನಿಜವಾದ ಬೈನರಿಗಳನ್ನೂ ಹೆಸರಿಸಬೇಕು. ನಿಮ್ಮ ಲ್ಯಾಪ್ಟಾಪಿನಲ್ಲಿ ಆಜ್ಞಾ ಸಾಲಿನ openvpn ಆಮದು ಮಾಡಿದ ಪ್ರೊಫೈಲ್ ನಿರ್ವಹಿಸುವ ಕ್ಲೈಂಟ್ ಎಂದೇನೂ ಅಲ್ಲ.

TLS 1.2 ಮತ್ತು TLS 1.3 ಪಟ್ಟಿಗಳು ಬೆರೆಯುವುದಿಲ್ಲ

TLS 1.2 ಸ್ಯೂಟ್ ಹೆಸರುಗಳು ಹೀಗಿರುತ್ತವೆ: ECDHE-RSA-AES256-GCM-SHA384 ಮತ್ತು ಅವು tls-cipher ಗೆ ಸೇರುತ್ತವೆ, ಅದು OpenSSL ಸೈಫರ್ ಸ್ಟ್ರಿಂಗ್ ಸ್ವೀಕರಿಸುತ್ತದೆ. TLS 1.3 ಸ್ಯೂಟ್ಗಳ ಹೆಸರು ಹೀಗಿದೆ: TLS_AES_256_GCM_SHA384 ಮತ್ತು ಅವು tls-ciphersuites ಗೆ ಸೇರುತ್ತವೆ; 1.2 ಸ್ಟ್ರಿಂಗ್ಗೆ ಒಂದನ್ನು ಸೇರಿಸುವುದರಿಂದ 1.3 ಪಟ್ಟಿ ಸಂರಚನೆಯಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಪಾರ್ಸರ್ ಎಂದಿಗೂ ಹೊಂದಿಸದೆಯೇ ಪಠ್ಯವನ್ನು ಸ್ವೀಕರಿಸಬಹುದು. ಒಂದು ಆವೃತ್ತಿಗೆ ಸರಿಯಾದ ಫಿಲ್ಟರ್ ಇನ್ನೊಂದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಯಾವ ಪಟ್ಟಿ ಯಾವ ಆವೃತ್ತಿಗೆ ಎಂದು ಬರೆದಿಡಿ.

openvpn --show-tls ಸ್ಥಳೀಯ ಬಿಲ್ಡ್ ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂದು ಮುದ್ರಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ಪಟ್ಟಿಯೇ ಹೊರತು ಭರವಸೆ ಅಲ್ಲ: ದೂರದ ಬದಿ ಆ ಸ್ಯೂಟ್ಗಳನ್ನು ಅನುಮತಿಸದಿರಬಹುದು, ಮತ್ತು ಸಕ್ರಿಯ ಪ್ರೊಫೈಲ್ ಅವನ್ನು ಸಕ್ರಿಯಗೊಳಿಸದಿರಬಹುದು. ಯಾವುದೇ ಸ್ಯೂಟ್ ನೀಡಲಾಗದ ಬಿಲ್ಡ್ ಅನ್ನು ಹೊರಗಿಡಲು ಇದನ್ನು ಬಳಸಿ, ನಂತರ ಸಂರಚಿತ ಪಟ್ಟಿಗಳನ್ನು ಹೋಲಿಸಿ.

ಹೊಸ ಸಂಪರ್ಕದಲ್ಲಿ ಮಾತುಕತೆಯನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಯಶಸ್ವಿ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮಾತ್ರ ಎಣಿಕೆಗೆ ಬರುವ ಸಾಕ್ಷ್ಯ, ಮತ್ತು ಅದು ನಿಜವಾದ ಕ್ಲೈಂಟ್ನಿಂದ ನಿಜವಾದ ಪ್ರೊಫೈಲ್ನೊಂದಿಗೆ ಬರಬೇಕು. ಸರ್ವರ್ನ ವಿವರ ಮಟ್ಟ ಹೆಚ್ಚಿಸಿ, ಒಮ್ಮೆ ಸಂಪರ್ಕಿಸಿ, ಮತ್ತು ಮೊದಲು ನೀಡಿದ ಮೌಲ್ಯ ಗೆದ್ದಿತು ಎಂದು ಊಹಿಸದೆ ಲಾಗ್ನಿಂದ ಮಾತುಕತೆಯಾದ ಪ್ರೋಟೋಕಾಲ್ ಆವೃತ್ತಿ ಮತ್ತು ಸ್ಯೂಟ್ ಓದಿ. ನಂತರ ಟನಲ್ ಮೂಲಕ ಸಂಚಾರದೊಂದಿಗೆ ಡೇಟಾ ಚಾನಲ್ ಅನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಕೆಲಸ ಮಾಡುವ ಹ್ಯಾಂಡ್ಶೇಕ್ ಮತ್ತು ವಿಫಲವಾಗುವ ಡೇಟಾ ಚಾನಲ್ ಬೇರೆ ಬೇರೆ ದುರಸ್ತಿಗಳು. ಯಾವುದೇ ಸಂರಚನೆ ಬದಲಾವಣೆಯ ನಂತರ ಪುನರಾವರ್ತಿಸಿ, ಏಕೆಂದರೆ ಹಳೆಯ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ ಸಾಮಾನ್ಯ ತಪ್ಪು ಋಣಾತ್ಮಕ ಫಲಿತಾಂಶ.

ಅನುಮೋದಿತ ಸಾಮಾನ್ಯ ಸಂರಚನೆ ಇಲ್ಲದಿದ್ದರೆ, ಉತ್ತರ ಅಪ್ಗ್ರೇಡ್ ಅಥವಾ ಸ್ಥಳಾಂತರ ಯೋಜನೆ, ದುರ್ಬಲಗೊಳಿಸಿದ ನೀತಿ ಅಲ್ಲ. tls-version-min ಕಡಿಮೆ ಮಾಡುವುದು, ಪರಿಶೀಲನೆ ನಿಲ್ಲಿಸುವುದು ಅಥವಾ ಎಲ್ಲಾ ಹಳೆಯ ಸ್ಯೂಟ್ಗಳನ್ನು ಸಕ್ರಿಯಗೊಳಿಸುವುದು ಅದನ್ನು ಸೃಷ್ಟಿಸಿದ ಭದ್ರತಾ ಅಗತ್ಯವನ್ನು ಪೂರೈಸದೆಯೇ ನಿರಾಕರಣೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಬದಲಾವಣೆ ಟಿಕೆಟ್ನಲ್ಲಿ ಮಾತುಕತೆಯಾದ ಆವೃತ್ತಿ, ಸ್ಯೂಟ್ ಮತ್ತು ಡೇಟಾ ಸೈಫರ್ ದಾಖಲಿಸಿ. ಮುಂದೆ TLS ದೋಷ ಎದುರಾಗುವ ವ್ಯಕ್ತಿ ಫೋರಮ್ ಪೋಸ್ಟ್ನಲ್ಲಿ ಸಿಕ್ಕಿದ ಸೈಫರ್ ಸ್ಟ್ರಿಂಗ್ನಿಂದಲ್ಲ, ಆ ದಾಖಲೆಯಿಂದ ಆರಂಭಿಸುತ್ತಾರೆ.