OpenSSL 3-дөн кийинки OpenVPN ачкыч суроосу: провайдерди текшериңиз

Профилге эч ким тийген жок, бирок ошол эле клиент азыр ар бир иштетилгенде жеке ачкыч үчүн сырсөз айкалышын талап кылат. Бул өзгөрүү дистрибутивди жаңыртуудан кийинки бир нече күндүн ичинде пайда болсо, ыктымал себеп — жаңыртуунун өзү: OpenSSL 3 алгоритмдерди колдоону кайра уюштурду, ал эми эски китепкана оңой окуган ачкыч бир байт да өзгөрбөстөн окулбай калышы мүмкүн. Текшерүүлөрдү ирети менен аткарыңыз, анткени суроого гана карасак, алардын экөө бирдей көрүнөт.

Биринчи суроо — ачкычтын шифрлениши, экинчиси — бул курулуш аны чече алабы. Конфигурация өзгөртүүлөрү эки жооп тең белгилүү болгондон кийин гана мааниге ээ.

Ачкычтын шифрленгенин текшериңиз

Файлдын биринчи сабын окуп, анан китепканага аны талдоого жол бериңиз, анткени файлдын аталышы эч нерсени далилдебейт. Жазуусу бар PEM блогу ENCRYPTED PRIVATE KEY шифрленген PKCS#8 болуп саналат, ал эми эскирээк RSA PRIVATE KEY блогу Proc-Type: 4,ENCRYPTED алып жүргөн салттуу форма, жана экөө тең сырсөз айкалышын күтөт. Шифрленбеген PRIVATE KEY блогу аны такыр сурабашы керек. Талдоону файлга ээлик кылган эсептен иштетиңиз, анткени уруксат маселеси башка жана алда канча кызыксыз ката берет.

Эгер ачкыч чын эле шифрленбеген болсо, бирок клиент дагы сураса, криптографияга кароону токтотуп, профиль кызмат азыр да окуй алган askpass файлын көрсөтүп жатабы, аны текшериңиз.

Бул курулуш аны чече алабы, аны текшериңиз

OpenSSL 3 алгоритмдерди колдоону провайдерлерге бөлдү, ал эми эски шифрлердин топтому азыр демейки провайдерде эмес, legacy провайдеринде турат. Ошол шифрлердин бири менен шифрленген ачкыч жарактуу бойдон калат, бирок legacy провайдери жок жүктөлгөн китепкана аны чече албайт. Айрым клиенттерде бул кайталануучу суроо түрүндө көрүнсө, башкаларында сырсөз айкалышынан кийин эле катуу ийгиликсиздик катары көрүнөт.

Ошол эле ачкычты ошол эле бинар менен эки жолу талдаңыз: адегенде демейки провайдер менен гана, анан буйрук сабында legacy жана демейкини чогуу сурап. Экинчи аракет биринчи ийгиликсиз болгон жерде ийгиликтүү болсо, диагноз жаңыртуу убактысына эмес, далилге таянат. Экөө тең бирдей ийгиликсиз болсо, сырсөз айкалышы туура эмес же файл бузулган, жана эч бир провайдер жөндөөсү экөөнү тең оңдобойт.

Жеткиликтүү эң тар оңдоону текшериңиз

Системалык өзгөртүүгө караганда клиент менен чектелген өзгөртүүнү артык көрүңүз. Айрым 2.6 курулуштары ошол демондун процесси үчүн эки провайдерди тең жүктөгөн профиль опциясын кабыл алат, ошондуктан ага таянардан мурун нускамадан так версияңызга ылайык директиваны текшериңиз; анын ордуна системалык openssl.cnf файлын оңдоо хосттогу ар бир OpenSSL программасына таасир этет. Тар жөндөө ачкыч кайра коддолгондон кийин артка кайтарууга да алда канча оңой.

Суроо жоголушу үчүн сырсөз айкалышын өчүрбөңүз. Бул корголгон каттоо маалыматтарын ачык текст файлына айландырат жана ал кездешкен ар бир камдык көчүрмө, көчүрмө жана колдоо бумасынын тобокелдигин байкалбастан өзгөртөт. Маанилүү айырма — өз сырсөз айкалышын талап кылган ачкыч менен бул китепкана чече албаган ачкычтын ортосунда.

Кызматтын контекстин текшериңиз, анан кайра коддонуз

Ачкычты ачуу мүмкүн болгондон кийин, аны заманбап алгоритм менен кайра шифрлеңиз көз карандылык жоголушу үчүн. Жаңы файлды заманбап шифр менен жазыңыз, анын талданаарын текшериңиз, профилди жаңыртыңыз жана эски көчүрмөнү туташуу ийгиликтүү болгонго чейин гана сактаңыз. Сырсөз айкалышын эч качан буйрук сабына койбоңуз, анда ар кандай жергиликтүү колдонуучу аны процесстер тизмесинен окуй алат. Эски файлды жаңысы кызмат эсебинен туташкандан кийин гана өчүрүңүз, сиздин shell-ден гана эмес.

Анан клиентти чындыгында иштеткен бирдикти текшериңиз. Сиздин shell-де окулган ачкыч башка эсептин алдында же катаалдаштырылган үй каталогунун жөндөөсү менен иштеген кызмат үчүн окулбай калышы мүмкүн.

Провайдер жөндөөсүн профилдин жанына жазыңыз жана эки буйруктуу тестти ошол жерде сактаңыз. Кийинки жаңыртуу legacy провайдерин алып салса, ошол тестти кайра иштетип, ачкычка ал дагы керекпи же профилди бул айланып өтүүдөн чыгарса болобу, аны көрүңүз.

Суроо — жок дегенде үч себеби бар симптом, жана алардын бирөө гана жоголгон сырсөз айкалышы.