OpenVPN'деги TLS шифр катасы: адегенде эки тарапты салыштырыңыз

«Жалпы шифр жок» катасы бир гана жөндөөнү өзгөртүү керек деп угулат, бирок көпчүлүк адамдар өзгөрткөн жөндөө туура эмес. OpenVPN TLS кол кармашуусун аткарган башкаруу каналы үчүн жана туннелдин ичинде пакеттерди ташыган маалымат каналы үчүн өзүнчө саясаттарды сактайт, ал эми ката биринчисин атайт, адамдар экинчисин оңдойт. Ар бир тарап эмнеге уруксат берерин туура тартипте салыштыруу божомолду эки же үч чечимге айландырат: версия, анан комплект тизмеси, анан кирүү дайындары.

Бул тартипти адаштырсаңыз, эч качан каралбаган тизмеге AES атын кошууга бир саат коротушуңуз мүмкүн.

Эки шифр тизмеси, жана кол кармашууну бирөө гана бузат

Башкаруу каналы TLS сессиясы боюнча келишет, анын саясаты менен жазылат: tls-cipher TLS 1.2 үчүн жана tls-ciphersuites TLS 1.3 үчүн. Маалымат каналы өзүнчө менен конфигурацияланат: data-ciphers, мында дал келбестик түзүлүп, анан трафикти өткөрө албаган байланышты жаратат. Экөө тең шифрлерди эске салган каталарды берет, ошондуктан аларды аралаштырышат. Эч качан бүтпөгөн кол кармашуу башкаруу каналын көрсөтөт, ал эми түзүлгөн туннель пакеттерди таштаса, ал маалымат каналын көрсөтөт.

Биринчи сапты эмес, бүт билдирүүнү окуңуз. Версия дал келбестиги, жетпеген комплект, тарап четке каккан сертификат колтамга алгоритми жана хост атын текшерүүнүн ийгиликсиздиги — баары TLS катасы менен бүтөт, жана алардын бирөө гана сиздин комплект тизмеңизге тиешелүү. Бул категорияларды бөлүү диагностиканын басымдуу бөлүгү.

Комплекттерди салыштырганга чейин версияларды салыштырыңыз

TLS 1.2 менен чектелген тарап жана 1.3 талап кылган тарап орток версияга ээ эмес, жана аны эч бир шифр сабы туташтырбайт. Эки тарапта тең tls-version-min жана tls-version-max жазып алыңыз, же колдонулуп жаткан билддердин демейки маанилерин, анткени дистрибутивдин OpenSSL саясаты төмөнкү чеги OpenVPN'дин эч бир опциясы айтпастан көтөрүшү мүмкүн. Эгер бир тарап түзмөк же үчүнчү тараптын кардары болсо, анын терезеси firmware уруксат берген чек. Терезелер кабатташканда гана комплекттерди салыштыруунун мааниси бар.

Бул жазуулар чыныгы бинардык файлдарды да аташы керек. Ноутбукуңуздагы буйрук сабындагы openvpn импорттолгон профилди иштеп чыккан кардар боло бербейт.

TLS 1.2 жана TLS 1.3 тизмелери аралашпайт

TLS 1.2 комплекттеринин аттары мындай көрүнөт: ECDHE-RSA-AES256-GCM-SHA384 жана төмөнкүгө таандык: tls-cipher, ал OpenSSL шифр сабын кабыл алат. TLS 1.3 комплекттеринин аттары мындай: TLS_AES_256_GCM_SHA384 жана төмөнкүгө таандык: tls-ciphersuites; анын бирин 1.2 сабына кошуу 1.3 тизмесин конфигурациялабайт, жана парсер текстти эч качан дал келтирбестен кабыл алышы мүмкүн. Бир версия үчүн туура чыпка экинчиси жөнүндө эч нерсе айтпайт. Кайсы тизме кайсы версияга арналганын жазыңыз.

openvpn --show-tls жергиликтүү билд эмнени колдой турганын басып чыгарат, жана бул тизме, убада эмес: алыскы тарап бул комплекттерге уруксат бербеши мүмкүн, ал эми активдүү профиль аларды күйгүзбөшү мүмкүн. Аны такыр комплект суна албаган билдди четтетүү үчүн колдонуп, анан конфигурацияланган тизмелерди салыштырыңыз.

Жаңы байланышта келишүүнү далилдеңиз

Ийгиликтүү кол кармашуу эсепке алынуучу жалгыз далил, жана ал чыныгы кардардан чыныгы профиль менен келиши керек. Сервердин деталдуулугун жогорулатыңыз, бир жолу туташыңыз жана биринчи сунушталган маани жеңди деп божомолдобой, журналдан келишилген протокол версиясын жана комплектти окуңуз. Анан маалымат каналын туннелден өткөн трафик менен өзүнчө ырастаңыз, анткени иштеген кол кармашуу жана ийгиликсиз маалымат каналы — ар башка оңдоолор. Ар кандай конфигурация өзгөрүүсүнөн кийин кайталаңыз, анткени эскирген кардар профили кеңири тараган жасалма терс жыйынтык.

Эгер бекитилген жалпы конфигурация жок болсо, жооп жаңыртуу же көчүрүү планы, алсыздатылган саясат эмес. tls-version-min маанисин төмөндөтүү, текшерүүнү өчүрүү же бардык эски комплектти күйгүзүү аны жараткан коопсуздук талабын аткарбастан четке кагууну жоёт.

Өзгөртүү билетине келишилген версияны, комплектти жана маалымат шифрин жазыңыз. Кийинки жолу TLS катасына туш болгон адам форумдагы билдирүүдөн табылган шифр сабынан эмес, ошол жазуудан баштайт.