SECLEVEL=0 ಲಕ್ಷಣವನ್ನು ಗುಣಪಡಿಸುತ್ತದೆ, ಪ್ರಮಾಣಪತ್ರವನ್ನಲ್ಲ

OpenVPN ಸಂಪರ್ಕ ವಿಫಲವಾಗುತ್ತದೆ, ಯಾರೋ SECLEVEL=0 ಸೇರಿಸುವ ಒಂದು ಸಾಲಿನ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತಾರೆ, ಮತ್ತು ಸುರಂಗ ಮೇಲೇರುತ್ತದೆ. ಬದಲಾದದ್ದು ಪ್ರಮಾಣಪತ್ರವಲ್ಲ ಮತ್ತು ಸೈಫರ್ ಸೂಟ್ ಕೂಡ ಅಲ್ಲ; ಗ್ರಂಥಾಲಯದಾದ್ಯಂತದ ಸ್ವೀಕೃತಿ ಮಿತಿ ಜರುಗಿತು, ಮತ್ತು ನಂತರ ಪ್ರಕ್ರಿಯೆ ಮಾಡುವ ಎಲ್ಲವೂ ಹೊಸ ಮಿತಿಯನ್ನು ಆನುವಂಶಿಕವಾಗಿ ಪಡೆಯುತ್ತದೆ. ಅದೇ ಸಾಲು ಪರಿಸರದ ಪ್ರತಿ ಪ್ರೊಫೈಲ್ಗೂ ನಕಲಾಗುವ ಮೊದಲು ಇದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವುದು ಯೋಗ್ಯ.

ಯಾವ ಗ್ರಂಥಾಲಯ ಮತ್ತು ಯಾವ ನೀತಿ ಜಾರಿಯಲ್ಲಿದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

SECLEVEL OpenSSL ನ ಪರಿಕಲ್ಪನೆ, ಆದ್ದರಿಂದ ಮೊದಲ ಪ್ರಶ್ನೆ ಎಂದರೆ ನಿಮ್ಮ ಬಿಲ್ಡ್ OpenSSL ಬಳಸುತ್ತದೆಯೇ ಎಂಬುದು. OpenVPN ಅನ್ನು ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಕ್ರಿಪ್ಟೋಗ್ರಫಿ ಗ್ರಂಥಾಲಯಗಳಿಗೆ ಲಿಂಕ್ ಮಾಡಬಹುದು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದಕ್ಕೆ ಅನ್ವಯಿಸುವ ಸೆಟ್ಟಿಂಗ್ ಉಳಿದವಕ್ಕೆ ಅರ್ಥಹೀನ. ಬೈನರಿಯನ್ನು ಯಾವುದರಿಂದ ನಿರ್ಮಿಸಲಾಗಿದೆ ಎಂದು ಕೇಳಿ, ನಂತರ ಗ್ರಂಥಾಲಯವನ್ನು ಯಾವ ಆವೃತ್ತಿ ಮತ್ತು ಸಂರಚನೆಯನ್ನು ಲೋಡ್ ಮಾಡಿದೆ ಎಂದು ಕೇಳಿ:

openvpn --version | head -3
openssl version -a

ಆವೃತ್ತಿಯ ಔಟ್ಪುಟ್ ಅನ್ನು ಎಚ್ಚರಿಕೆಯಿಂದ ಓದಿ, ಏಕೆಂದರೆ ವಿತರಣೆಗಳು ಡೀಫಾಲ್ಟ್ಗಳನ್ನು ಪ್ಯಾಚ್ ಮಾಡುತ್ತವೆ. ಕೆಲವು ಕನಿಷ್ಠ ಮಟ್ಟವನ್ನು ಅಪ್ಸ್ಟ್ರೀಮ್ ಡೀಫಾಲ್ಟ್ಗಿಂತ ಮೇಲಕ್ಕೆತ್ತುವ ಸಿಸ್ಟಮ್ ಸಂರಚನೆಯನ್ನು ಒದಗಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಒಂದೇ OpenVPN ಪ್ಯಾಕೇಜ್ಗಳಿರುವ ಎರಡು ಯಂತ್ರಗಳಲ್ಲಿ ಅದೇ ಪ್ರೊಫೈಲ್ ಬೇರೆ ರೀತಿ ವರ್ತಿಸುತ್ತದೆ. ಪರಿಣಾಮಕಾರಿ ನೀತಿ ಎಂದರೆ ಚಾಲನೆಯಲ್ಲಿರುವ ಪ್ರಕ್ರಿಯೆ ಲೋಡ್ ಮಾಡಿದ್ದು, ಅಪ್ಸ್ಟ್ರೀಮ್ ಕೈಪಿಡಿಯಲ್ಲಿರುವುದಲ್ಲ.

ನಂತರ ಜನರು ಗೊಂದಲಿಸುವ ಎರಡು ಪದರಗಳನ್ನು ಬೇರ್ಪಡಿಸಿ. OpenVPN ಗೆ ತನ್ನದೇ TLS ನಿಯಂತ್ರಣಗಳಿವೆ, ಅವುಗಳಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರ ಪ್ರೊಫೈಲ್ ಸೆಟ್ಟಿಂಗ್ ಮತ್ತು ಸ್ಪಷ್ಟ ಸೈಫರ್ ಪಟ್ಟಿಗಳು ಸೇರಿವೆ, ಮತ್ತು ಅವು ಗ್ರಂಥಾಲಯ ಜಾರಿಗೊಳಿಸುವ ಎಲ್ಲದಕ್ಕೂ ಮೇಲಿನ ಸ್ಥಾನದಲ್ಲಿವೆ. ಗ್ರಂಥಾಲಯದ ಮಟ್ಟವನ್ನು ಇಳಿಸುವುದು ನಿಮ್ಮ OpenVPN ಸಂರಚನೆ ಯಾವ ಸೈಫರ್ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ, ಮತ್ತು OpenVPN ಪಟ್ಟಿಯನ್ನು ಸಂಕುಚಿತಗೊಳಿಸುವುದು ಗ್ರಂಥಾಲಯದ ಮಿತಿಯನ್ನು ಏರಿಸುವುದಿಲ್ಲ. ಯಾವ ಪದರ ನಿಮ್ಮನ್ನು ತಿರಸ್ಕರಿಸಿತು ಎಂಬುದನ್ನು ತಿಳಿಯುವುದೇ ಸರಿಪಡಿಸುವಿಕೆಯನ್ನು ಊಹೆಯಾಗಿ ಉಳಿಯದಂತೆ ತಡೆಯುತ್ತದೆ.

ತಿರಸ್ಕೃತವಾಗಬಹುದಾದ ಮೂರು ವಿಷಯಗಳನ್ನು ಬೇರ್ಪಡಿಸಿ

ಮೊದಲ ಅಭ್ಯರ್ಥಿ ಗುರುತಿನ ಸಾಮಗ್ರಿ: ಕೀಲಿ ತುಂಬಾ ಚಿಕ್ಕದಾದ ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಸಹಿ ಅಲ್ಗಾರಿದಮ್ ಅನ್ನು ನೀತಿ ಇನ್ನು ಮುಂದೆ ಸ್ವೀಕರಿಸದ ಪ್ರಮಾಣಪತ್ರ. ಎರಡನೆಯದು ಕೀಲಿ ವಿನಿಮಯ ಪರಿಮಾಣ, ಉದಾಹರಣೆಗೆ ನೀತಿ ತುಂಬಾ ದುರ್ಬಲ ಎಂದು ಪರಿಗಣಿಸುವ ಗುಂಪು. ಮೂರನೆಯದು ನೀತಿ ಹೊರಗಿಡುವ ಸೈಫರ್ ಸೂಟ್. ಮೂರೂ ಕೈಹಿಡಿತ ವೈಫಲ್ಯವನ್ನು ಉಂಟುಮಾಡಬಹುದು, ಮತ್ತು ದೋಷ ಪಠ್ಯ ಮತ್ತು ಮಾತುಕತೆಯ ಹಂತ ಮಾತ್ರ ಅವನ್ನು ಬೇರ್ಪಡಿಸುತ್ತವೆ.

ಈ ಮೂರರಲ್ಲಿ ಯಾವುದೂ ಡೇಟಾ-ಚಾನೆಲ್ನ ಸೈಫರ್ ಅಲ್ಲ. OpenVPN ತನ್ನ ಸುರಂಗ ಗೂಢಲಿಪೀಕರಣವನ್ನು TLS ಕೈಹಿಡಿತದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಮಾತುಕತೆ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಭದ್ರತಾ ಮಟ್ಟ ಬದಲಾದ ನಂತರ ಯಶಸ್ವಿಯಾದ ಸಂಪರ್ಕ ನಿಮ್ಮ ಪೇಲೋಡ್ ಅನ್ನು ಯಾವ ಸೈಫರ್ ರಕ್ಷಿಸುತ್ತದೆ ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ನೀವು ನಿಜವಾಗಿ ಕೇಳುತ್ತಿರುವ ಪ್ರಶ್ನೆ ಡೇಟಾದ ಗೋಪ್ಯತೆಯ ಬಗ್ಗೆಯಾದರೆ, ನೀವು ಸಂಪೂರ್ಣ ತಪ್ಪು ನಿಯಂತ್ರಕವನ್ನು ನೋಡುತ್ತಿದ್ದೀರಿ.

ಮಟ್ಟವನ್ನು ಇಳಿಸುವುದು ಮೂರೂ ಇನ್ಪುಟ್ಗಳಿಗೆ ಸ್ವೀಕೃತಿಯನ್ನು ಏಕಕಾಲದಲ್ಲಿ ಹಿಗ್ಗಿಸುತ್ತದೆ. ಇದೇ ಜನರು ಕಳೆದುಕೊಳ್ಳುವ ಭಾಗ: ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಒಪ್ಪುವ ಸರಿಪಡಿಸುವಿಕೆ ದುರ್ಬಲ ಗುಂಪು ಮತ್ತು ನೀವು ಬಹುಶಃ ಅನುಮತಿಸಲು ಉದ್ದೇಶಿಸದ ಸೂಟ್ ಅನ್ನೂ ಒಪ್ಪುತ್ತದೆ. ಒಂದು ದೋಷ ಬದಲಾವಣೆಗೆ ಕಾರಣವಾಯಿತು, ಮತ್ತು ಬದಲಾವಣೆ ದೋಷಕ್ಕಿಂತ ವಿಸ್ತಾರವಾಗಿದೆ. ಈ ಅಸಮಮಿತಿಯೇ ಸೀಮಿತ ವಿನಾಯಿತಿ ಇಡೀ ಪರಿಸರದ ಡೀಫಾಲ್ಟ್ಗಿಂತ ಉತ್ತಮವಾಗಲು ಕಾರಣ.

ಇನ್ಪುಟ್ ಬದಲಿಸಿ, ಮಿತಿಯನ್ನಲ್ಲ

ಸಂರಚನೆಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ನಿಖರ ದೋಷವನ್ನು ಉಳಿಸಿ, ಅದನ್ನು ವರದಿ ಮಾಡಿದ ಹಂತ ಮತ್ತು ಅದು ಹೆಸರಿಸಿದ ವಸ್ತುವನ್ನೂ ಸೇರಿಸಿ. ಪ್ರಮಾಣಪತ್ರದ ಸಮಸ್ಯೆ ಪ್ರಸ್ತುತ ನೀತಿ ಸ್ವೀಕರಿಸುವ ಯಾವುದನ್ನೋ ಆಗಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಬದಲಿಸುವ ಮೂಲಕ ಪರಿಹಾರವಾಗುತ್ತದೆ, ಅಂದರೆ ಸಾಮಾನ್ಯವಾಗಿ ಅದೇ ಫೈಲ್ ಅನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಬದಲು ಅಧಿಕಾರಿಯಿಂದ ಅದನ್ನು ಮರುಹೊರಡಿಸುವುದು.

ತಿರಸ್ಕೃತ ಇನ್ಪುಟ್ ನೀವು ನಿಯಂತ್ರಿಸದ ಸಹವರ್ತಿಯದ್ದಾದರೆ, ಮಾತುಕತೆ ಆ ಸಹವರ್ತಿಯ ಮಾಲೀಕನೊಂದಿಗೆ ಬೆಂಬಲಿತ ಬದಲಿ ಸಾಮಗ್ರಿಯ ಬಗ್ಗೆ. ಯಾರೂ ನಿರ್ವಹಿಸದ ವ್ಯವಸ್ಥೆಯನ್ನು ಅಳವಡಿಸಲು ನಿಮ್ಮ ಸ್ವಂತ ಮಿತಿಯನ್ನು ಇಳಿಸುವುದು ವೆಚ್ಚವನ್ನು ಅವರಿಂದ ಅವರ ನಂತರ ಸಂಪರ್ಕಿಸುವ ಎಲ್ಲರಿಗೂ ವರ್ಗಾಯಿಸುತ್ತದೆ.

ಸರ್ವರ್ ನೀತಿಯನ್ನು ಜಾರಿಗೊಳಿಸುವಲ್ಲಿ, ಗ್ರಂಥಾಲಯವನ್ನು ದೂಷಿಸುವ ಮೊದಲು OpenVPN ಮಟ್ಟದ ಸೆಟ್ಟಿಂಗ್ ನಿಜವಾದ ಕಾರಣವೇ ಎಂದು ಪರಿಶೀಲಿಸಿ. ನಿಯೋಜಿತ ಪ್ರಮಾಣಪತ್ರ ಪೂರೈಸಲಾಗದ ಕಟ್ಟುನಿಟ್ಟಿನ ವರ್ಗವನ್ನು ಕೇಳುವ ಪ್ರಮಾಣಪತ್ರ ಪ್ರೊಫೈಲ್ ಭದ್ರತಾ ಮಟ್ಟ ಏನೇ ಇರಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಮತ್ತು ಆ ಪ್ರೊಫೈಲ್ ತೆಗೆಯುವುದು ಗ್ರಂಥಾಲಯದ ಪರಿಶೀಲನೆಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದಕ್ಕಿಂತ ಸಣ್ಣ ಬದಲಾವಣೆ.

ಕಡಿಮೆ ಮಾಡಲೇಬೇಕಾದರೆ, ವ್ಯಾಪ್ತಿ ಮಿತಿಗೊಳಿಸಿ ಮತ್ತು ದಾಖಲಿಸಿ

ಕೆಲವೊಮ್ಮೆ ಅನುಮೋದಿತ ಹೊಂದಾಣಿಕೆ ವಿನಾಯಿತಿಯೇ ಸರಿಯಾದ ಉತ್ತರ, ವಿಶೇಷವಾಗಿ ದಿನಾಂಕದ ನಿವೃತ್ತಿ ಯೋಜನೆಯಿರುವ ಹಳೆಯ ಸಹವರ್ತಿಗೆ. ಅದನ್ನು ಇಡೀ ಹೋಸ್ಟ್ಗೆ ಬದಲು ಅದು ಬೇಕಾದ ಸೇವೆಗೆ ಸೀಮಿತಗೊಳಿಸಿ: ಸೇವಾ-ನಿರ್ದಿಷ್ಟ ಸಂರಚನಾ ಫೈಲ್ ಅಥವಾ ಮೀಸಲಾದ OpenSSL ಸಂರಚನೆ ಜಾಗತಿಕ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ರಫ್ತಿಗಿಂತ ಚಿಕ್ಕ ಪ್ರಭಾವ ವ್ಯಾಪ್ತಿಯನ್ನು ಹೊಂದಿದೆ.

ವಿನಾಯಿತಿಯೊಂದಿಗೆ ನಾಲ್ಕು ವಿಷಯಗಳನ್ನು ಬರೆಯಿರಿ: ನಿಖರ ಸೆಟ್ಟಿಂಗ್, ಅದನ್ನು ಅನುಮೋದಿಸಿದ ಮಾಲೀಕ, ಅದು ಬಾಧಿಸುವ ಕ್ಲೈಂಟ್ಗಳು, ಮತ್ತು ಅದನ್ನು ತೆಗೆದುಹಾಕುವ ಷರತ್ತು. ನಿವೃತ್ತಿ ಷರತ್ತಿಲ್ಲದ ವಿನಾಯಿತಿ ತಾತ್ಕಾಲಿಕ ಸಮರ್ಥನೆ ಜೋಡಿಸಿದ ಶಾಶ್ವತ ದುರ್ಬಲತೆ.

ರೋಲ್ಬ್ಯಾಕ್ ನೀವು ಈಗಾಗಲೇ ಪರೀಕ್ಷಿಸಿದ ಒಂದೇ ಹಂತವಾಗಿರಬೇಕು. ಹಿಂದಿನ ಸಂರಚನೆಯನ್ನು ಇರಿಸಿ, ಬದಲಾವಣೆಯನ್ನು ಅನ್ವಯಿಸಿ, ಸೇವೆ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಮತ್ತು ಮುಂದಿನ ಸಂಪರ್ಕ ನಿರೀಕ್ಷಿಸಿದಂತೆ ವರ್ತಿಸದಿದ್ದರೆ ಯಾವ ಫೈಲ್ ಮರುಸ್ಥಾಪಿಸಬೇಕೆಂದು ನಿಖರವಾಗಿ ತಿಳಿಯಿರಿ.

ನಂತರ ಗುರುತು ಮತ್ತು ರಕ್ಷಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ಯಶಸ್ವಿ ಸಂಪರ್ಕವು ಪರಿಷ್ಕೃತ ಷರತ್ತುಗಳು ಅದನ್ನು ಒಪ್ಪಿಕೊಂಡಿವೆ ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ಹೋಸ್ಟ್ಹೆಸರು ಮತ್ತು ಸಹವರ್ತಿ ಪರಿಶೀಲನೆ ಇನ್ನೂ ತಮ್ಮ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಎಂದು, ಬಳಸುತ್ತಿರುವ ಪ್ರಮಾಣಪತ್ರ ನೀವು ನಿಯೋಜಿಸಲು ಉದ್ದೇಶಿಸಿದ್ದೇ ಎಂದು, ಮತ್ತು ಮಾತುಕತೆಯಾದ ಡೇಟಾ ಚಾನೆಲ್ ನೀವು ಭಾವಿಸುವ ನೀತಿಗೆ ಹೊಂದುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL ಭದ್ರತಾ ಮಟ್ಟಗಳ ಉಲ್ಲೇಖ ಚೌಕಟ್ಟು ಕೀಲಿಗಳು, ಸಹಿಗಳು, ಗುಂಪುಗಳು ಮತ್ತು ಸೂಟ್ಗಳ ಮೇಲೆ ಮಿತಿಗಳನ್ನು ಒಟ್ಟಿಗೆ ಅನ್ವಯಿಸುತ್ತದೆ ಮತ್ತು ಶೂನ್ಯ ಮಟ್ಟ ಕಾಲ್ಬ್ಯಾಕ್ ಪರಿಶೀಲಿಸುವ ಎಲ್ಲವನ್ನೂ ಅನುಮತಿಸುತ್ತದೆ ಎಂದು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳುತ್ತದೆ. ನೀವು ಬದಲಿಸಿದ್ದರ ವ್ಯಾಪ್ತಿ ಅದೇ, ಮತ್ತು ಸರಿಪಡಿಸುವಿಕೆ ಕಿರಿದಾಗಿತ್ತೇ ಎಂದು ಯಾರಾದರೂ ಕೇಳಿದಾಗ ಉಲ್ಲೇಖಿಸಬೇಕಾದ ವಾಕ್ಯ ಅದೇ.

ಲೆಕ್ಕಪರಿಶೋಧನೆಯನ್ನು ದಾಟುವ ಹಸ್ತಾಂತರ ಯಾವ ನೀತಿ ಯಾವ ಇನ್ಪುಟ್ ಅನ್ನು ತಿರಸ್ಕರಿಸಿತು, ಏನು ಬದಲಾಯಿತು ಮತ್ತು ಪರಿಣಾಮವಾಗಿ ಏನು ಸ್ವೀಕಾರಾರ್ಹವಾಗಿ ಉಳಿಯುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ. „ಇದು SECLEVEL=0 ನೊಂದಿಗೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ“ ಒಂದು ಸಂಪರ್ಕದ ಬಗ್ಗೆ ಅವಲೋಕನ, ನಿಯೋಜನೆಯ ಭದ್ರತಾ ಮೌಲ್ಯಮಾಪನವಲ್ಲ.