AES-256-GCM табылган жок: кардардын мүмкүнчүлүгүбү же сүйлөшүүбү?

Башка жерде иштеген OpenVPN профили AES-256-GCM табылбаганын же тараптарда жалпы шифр жоктугун билдирет, ал эми биринчи ой профилди оңдоо болот. Бул эки билдирүү ар башка бузулууларды сүрөттөйт. Бири жергиликтүү программада мындай алгоритм жок дейт; экинчиси эки тарапта алгоритмдер бар, бирок жалпы тандоо жок дейт. Кайсынысы сизде экенин билмейинче профилди оңдоо экөөнү тең чечпейт.

Катанын так текстин жана аны чыгарган программаны окуңуз.

Кайсы ката экенин аныктаңыз

Табылбаган шифр тууралуу билдирүү жергиликтүү машинада пакет жөнөтүлө электе опцияларды талдоодон келет. Бул алдыңыздагы аткарылуучу файл же ал байланган китепкана ошол алгоритмди сунуштабайт дегенди билдирет. Жалпы шифр жоктугу тууралуу билдирүү кийинчерээк, сүйлөшүү учурунда келет жана эки тарап тең шифрлерди колдойт, бирок бирөөгө келише албайт дегенди билдирет.

Айырма маанилүү, анткени бири программа версиясынын маселеси, экинчиси конфигурациянын маселеси. Биринчисин версия номери чечет. Экинчисин эки тизмени салыштыруу чечет.

Жергиликтүү мүмкүнчүлүк тартыштыгы

Эски коомчулук куруулары заманбап демейки маанилерден мурунку, ал эми иш такта колдонмосу жанында орнотулган буйрук сабынын пакетинен башка өз кыймылдаткычын алып келиши мүмкүн. Текшерүүлөрдү туташууну чын эле баштаган аткарылуучу файлда жүргүзүңүз, анан эски программага жаңы алгоритм үйрөтүүнүн ордуна колдоого алынган курууну тандаңыз.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Эгер AES-256-GCM ошол тизмеде болбосо, эч бир профиль сабы аны кошпойт. Чечим жаңыраак кардар же башка куруу, ал эми эскирээк тараптын чектөөлөрү өзүнчө долбоор маселесине айланат.

OpenVPN 3 негизиндеги кардарларда кыймылдаткыч жана кабыл алынуучу директивалар коомчулуктун 2.x сызыгынан башка, ошондуктан ошол эле профиль тексти шифрлер тизмесине эч кандай тиешеси жок себептерден ийгиликсиз болушу мүмкүн.

Сүйлөшүү тартыштыгы

Эки тарап тең алгоритмди тизмелегенде, калган суроо ар бир тарап кайсы тизмени сунуштайт дегенде. Коомчулуктун OpenVPN сүйлөшүү директивасынын атын өзгөрттү: 2.4төгү ncp-ciphers 2.5те data-ciphers болду, ал эми 2.6да эски cipher сабы негизинен шайкештикке жана артка кайтууга кызмат кылат, келишилген топтомду аныктоого эмес.

Ошондуктан эски cipher сабын гана өзгөртүү сүйлөшүү тизмесин тийбеген бойдон калтырышы мүмкүн. Эски сап артка кайтуу үчүн дагы эле маанилүү, ал эми бул өзүнчө иш. Экөөнү аралаштыруу көрүнүктүү эч нерсени өзгөртпөгөн оңдоолорду берет.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Эки учтун тизмелерин жана сервердин баш тартуу билдирүүсүн салыштырыңыз. Эгер кесилиш бош болсо, башка версия үчүн жазылган макаладан маани көчүрүүнүн ордуна тизмелерди атайын теңдештириңиз. Өтө кенен тизме ар бир туташууну унчукпай алсыратат. Өтө тар тизме сиз сактагыңыз келген тарапты чыгарып салат.

Шайкештикти ачык кармаңыз

Бир эски тарап үчүн артка кайтуу наркы бар чечим: бир түзмөк туташа алышы үчүн бүт жайгаштыруу алсызыраак вариантты кабыл алат. Аны ошентип жазыңыз жана ага муктаж тарап менен чектеңиз.

Натыйжаны эки шарт чечет. Эгер ката жергиликтүү болсо, курууну алмаштырыңыз. Эгер ката сүйлөшүүнүкү болсо, эки учта тизмелерди теңдештирип, кайсы версияларды колдой турганыңызды жазыңыз.

Анан версия жана мүмкүнчүлүк чыгарылышын тиркөө менен так катаны билдириңиз. Бул жуп жок алгоритмди келишпестиктен ажыратат жана болжолдуу оңдоолордун кийинки айлампасын башталганга чейин токтотот.