Бир эски теңдеш TLS 1.0-ды мажбурлайт: өзгөчөлүктү чекте, хостту эмес

Бир эски түзмөк пайда болуп, туташа албайт, ал эми эң тез көрүнгөн оңдоо — байланыш ийгиликтүү болгонго чейин бүт хостту алсыратуу. Бул алмашуу ошол учурда көрүнбөйт жана иш жүзүндө туруктуу болуп калат, анткени акыры иштеп баштаган чеңгээлди эч ким алып салбайт. Бул басымды эки таптакыр башка бузулуу жаратат жана алардын бирөө гана шифрлерге тиешелүү. Адегенде бузулууну иретте, анан өзгөчөлүктү тарай албаган жерге кой.

Директиваны өзгөртүүдөн мурун бузулууну экиге бөл

Жалпы шифр жок же протокол версиясы колдоого алынбайт деген сервер журналынын сабы башкаруу каналынан келет: эки тарап сүйлөшүүнүн өзүн кантип коргоо керектиги боюнча келише алган жок. Сервер сертификатын текшерүүнүн эч бир ыкмасы күйгүзүлгөн эмес деген кардар сабы таптакыр башка жерден келет, анткени ал кардар ким жооп бергенин такыр текшербейт. Дайындар шифрин өзгөртүү экинчи учурга эч нерсе кылбайт, ал эми ролду текшерүүнү кошуу биринчисине эч нерсе кылбайт.

Ажыраганга чейинки акыркы сапты эмес, ар бир тараптын эң эрте ийгиликсиз сабын ал, анткени акыркысы көбүнчө жыйынтык гана. Анан кардар чындап кайсы файлды ачканын аныкта: импорттолгон профиль көбүнчө ар башка көрсөтүлүүчү аттар менен эки жолу болот, ал эми эч ким окубаган көчүрмөнү оңдоо ишенимдүү «өзгөрүү жокту» жаратат. Иштеп жаткан процесс башталгандагы параметрлерди сактайт, ошондуктан сакталган файл жүктөлгөн файл эмес. Төмөнкү буйруктар ошол эле аракеттин кардардык сүйлөшүүсүн сервердин көз карашы менен катар көрсөтөт.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Алсызыраак чеңгээл үчүн экинчи угуучу — чыныгы орун

Түзмөк 2.5 чейинки дайындар каналы менен TLS 1.0-до токтоп калса, сервер башкаруу каналынын төмөнүрөөк чеңгээлин жана эски кардар тааныган дайындар шифрин сунушу керек. Кайтарым директива дал ошол теңдеш үчүн бар, ал эми шифрлердин тизмеси заманбап кардарларды заманбап топтомдордо кармайт. Эки директива тең колдонуучуга же байланышка эмес, угуучуга таандык жана кийин аларды эч бир кардардык параметр тарайтпайт. Ошондуктан негизги порттогу бир мурас түзмөк — ошол портту бөлүшкөн ар бир теңдеш тууралуу чечим.

Платформа уруксат берген жерде мурас угуучуну өзүнчө порттогу өз алдынча инстанция катары иштет, бул портко түзмөктүн дарегинен гана уруксат бер жана негизги кызматка тийбе. Экинчи угуучу эмне үчүн бар экенин анын конфигурациясы бар файлга жазып кой, болбосо келечектеги тазалоо аны калдык таштанды деп окуйт. Бөлүү алсызыраак чеңгээл түзмөк бүткөн жерде бүтсө гана мааниге ээ.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Эски провайдер сертификаты чындап эмнени бузат

Текшерүү катасы — бул ролдук байланыштын жоктугу: ансыз кардар ишенимдүү CA-га чынжырланган ар кандай сертификатты кабыл алат, ал сервер үчүн берилген-берилбегенине карабастан. Адегенде сертификатты сервер ролуна байла жана байланышты жөндөө туткасы эмес, талап катары кара. Ушул кадамдан кийин да ийгиликсиз болгон профилдин гана чыныгы сертификат маселеси бар.

Ачкыч өлчөмү же колтамга алгоритми OpenSSL-дун демейки саясатына мындан ары жооп бербеген эски провайдер сертификаты — башкаруу каналында коопсуздук деңгээлин чектелүү өзгөртүүнүн иши. Ал жерде деңгээлди төмөндөтүү текшерүүнү өчүрбөйт жана аны эч качан бош CA, өчүрүлгөн текшерүү же текшерилбеген хост аты менен айкалыштырууга болбойт. Сапты ага муктаж болгон бир гана профилдин ичинде карма; жеңилдетилген OpenSSL конфигурациясын глобалдуу экспорттоо машинадагы ар бир программага ошол эле жеңилдетүүнү берет.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Келишилген маанилерди оку, баннерди эмес

verbosity 4 деңгээлинде эки тарап тең келишкен башкаруу каналынын TLS версиясын жана шифрин, ошондой эле сессиянын дайындар шифрин чыгарат. Инициализация баннерин эмес, ошол саптарды оку, анткени баннер ийгиликти билдирет, анын шарттарын эмес. Анан заманбап кардарды негизги угуучуга кайра туташтырып, ал дагы эле заманбап топтомго түшөрүн ыраста, анткени жалпы конфигурацияга сиңип кеткен өзгөчөлүк эң оболу ушунда көрүнөт. Көчүрүп алган маанилер кийинки кароонун базасы болуп калат.

Эски түзмөктү өзүнчө сынап көр: ал туташы керек жана журналдарда алсызыраак параметрлерди көрсөткөн жалгыз сессия болушу тийиш. Эгер экинчи теңдеш да эски топтомду келишсе, өзгөчөлүк ойлогондон кененирээк жана угуучуларды бөлүү чындап болгон эмес. Тек жыйынтыкты эмес, эки байкоону тең жаз.

Ар бир өзгөчөлүккө ээси жана күнү керек

Алып салуу шарты жок өзгөчөлүк үнсүз демейкиге айланат, ошондуктан түзмөктү, ээсин, себебин жана ал кетүүчү күндү аны актаган конфигурациянын жанына кой. Ошол сап болбосо, алсызыраак чеңгээл ага муктаж болгон жабдуудан узак жашайт.

Максат — кардарды алмаштыруу же провайдерден учурдагы профилди суроо; өзгөчөлүк — дизайн эмес, кечигүү. Түзмөк кызматтан чыкканда, угуучу менен профилди бир эле өзгөртүүдө алып сал, ошондо эч бир жарымы иштеп калбайт. Мунун эч бири эски параметрлерди коопсуз кылбайт, ал бир түзмөктүн чеги баарынын базасына айланышынан гана сактайт.