8192 биттик ачкычтар кол алышууну токтотот; 1024 биттик DH четке кагылат

Бир серверде кардарлар аз убакыт тыгылып, анан кайра туташат, экинчиси ачкычтын өлчөмү тууралуу билдирүү менен туташууларды дароо четке кагат. Алар башка каталардай көрүнөт жана бул карама-каршы багыттарды көрсөткөн ошол эле ката. Кол алышуу криптографиясынын параметр өлчөмү менен өскөн баасы бар, жана заманбап китепканалар төмөндөбөгөн төмөнкү чеги да бар. Материалдын өлчөмүн аныктоо — текшерүү тизмеси, ал эми биринчи пункт эки катанын кайсынысы чындыгында сизде экенин чечүү.

Бир нерсени кайра жаратуудан мурун ийгиликсиздикти окуңуз

Убакыт сизге анын көбүн айтат. Бир нече секунд алып, анан өлгөн кол алышуу адатта эсептөө каршы тараптын чыдамкайлыгынан ашып кеткенин билдирет, бул аппараттык камсыздоо же убакыт чеги үчүн өтө чоң параметрлерди көрсөтөт. Ачкыч же топ өлчөмүн атаган дароо баш тартуу каршы багытка, китепкана такыр кабыл албай турган материалга көрсөтөт.

Бул экөөнө карама-каршы оңдоолор керек, жана көптөгөн аракеттер ушул жерде жаңылышат. Кичине топту мурун эле четке каккан кардарда 8192 биттик параметрлерди кайра жаратуу жай учурду начарлатат, ал эми тез учур үчүн эч нерсе кылбайт. Файлга тийүүдөн мурун кандай белгини көргөнүңүздү жазып коюңуз.

Анан каршы тараптан эмне талап кылынарын текшериңиз. Чоң акыркы талаа тобуна жөндөлгөн сервер ар бир кардарды туташуу учурунда гана эмес, ар бир кайра сүйлөшүүдө ошол эле процессор убактысын сарптоого мажбурлайт. Эгер көйгөй баштоодо эмес, туруктуу аралыкта пайда болсо, ошол аралык кайсы жөндөө кымбат экенине күчтүү белги. Кайра сүйлөшүү бүт эсептөөнү кайталайт, ошондуктан ар саат сайын кайталанган тыгылуу адатта ошол эле чыгымдын кайра төлөнүшү.

Жай учур: аппараттык камсыздоо көтөрө албаган материал

Diffie-Hellman жана RSA иши ачкычтын өлчөмү менен тез өсөт, жана мунун баары туннелден эч кандай трафик өтпөй туруп болот. Кичине маршрутизатордо же кубаты аз кардарда жетиштүү чоң топ алмашууну каршы тараптын убакыт чегинен ары түртүп жибериши мүмкүн, ошондуктан туташуу кайра аракет кылат же эч кандай катасыз жөн гана тыгылып калгандай көрүнөт.

Оңдоо — ар бир каршы тарап колдогон жана ар бир түзмөк ыңгайлуу эсептей алган өлчөмгө түшүү. 2048 биттик RSA ачкычы жана 2048 биттик топ кеңири шайкеш базалык сызык бойдон калат; чоңураак башкалар гана макул болгондо жана процессор аны ар бир кайра сүйлөшүүдө төлөй алганда жардам берет. Бул базалык сызыктан жогоркунун баары атайын жасалган алмашуу, жаңыртуу эмес.

Өлчөм упай эмес, жана салыштыруу таблицасындагы эң чоң сан автоматтык түрдө туура тандоо эмес. Саясатыңыз уруксат берген жана бардык каршы тарап кабыл алган эң кичине маанини тандаңыз, анан жакшырды деп болжолдоонун ордуна кол алышууну өлчөңүз. Дагы эле убакыт чегинен өткөн кичирээк топ өлчөм эч качан бүт окуя болбогонун айтат.

Тез учур: китепкана четке каккан топ

Заманбап OpenSSL курулуштары эң кичине акыркы талаа топторун түз эле четке кагат, ал эми көтөрүлгөн коопсуздук деңгээли төмөнкү чекти дагы жогору түртөт. Он жылдык параметр файлын алып жүргөн маршрутизатор прошивкасы адаттагы булак, ал эми белгиси — топту же ачкычтын өлчөмүн атаган билдирүү менен дароо ийгиликсиз болгон туташуу. Бул ийгиликсиздикте эч нерсе үзгүлтүктүү эмес, жана дал ошол аны таанууну жеңилдетет.

Текшерүүнү айланып өтүү үчүн конфигурацияны оңдоонун ордуна файлды алмаштырыңыз. Учурдагы топту жаратыңыз, аны текшериңиз, анан демон чындыгында окуган жерге орнотуңуз. Эски файлды кардар жаңысы менен ийгиликтүү туташканга чейин сактаңыз:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Текшерүү буйругу файлды текшерет жана ал өткөндө пайдалуу эч нерсе басып чыгарбайт; тизме кызмат жүктөгөн файлды алмаштырганыңызды, жанындагы эскирген көчүрмөнү эмес экенин ырастайт. Конфигурацияны ошол жолго багыттаңыз, демонду кайра иштетиңиз жана мурун ийгиликсиз болгон кардар азыр кол алышууну бүтүрөөрүн ырастаңыз.

Эгер сервер коопсуздук деңгээлин же сертификат профилин да кошсо, топ туура эмес болгон деген жыйынтыкка келүүдөн мурун аларды окуңуз. Катуураак классты талап кылган профиль демейки кабыл ала турган материалды четке кагышы мүмкүн, жана бул параметрди алып салуу текшерүүнү дүйнөлүк өчүрүүгө караганда тар өзгөртүү.

Каршы тарап жана аппараттык камсыздоо үчүн өлчөм тандаңыз

Экзотикалык нерсе жаратуудан мурун алыскы тарап эмнени көтөрө аларын билиңиз. 2048 биттик топ үчүн өтө эски түзмөк алмаштырылуучу түзмөк, анткени серверди алсызыраак топко багыттоо шайкештик доосун гана бузулууга айландырат. Туруктуу оңдоолор эски параметрлерге эмес, жаңы программалык камсыздоого карай жылат. Бул тармактагы ар бир убактылуу өзгөчөлүк туруктуу конфигурация болуп калуу жолун табат.

Чектөө сервердин процессору болсо, саясаттан төмөн түшүүнүн ордуна алгоритмди өзгөртүңүз. X25519 сыяктуу эллипстик ийри ачкыч алмашуусу чоң акыркы талаа тобунан кыйла арзан жана кеңири колдоого алынган, бул аны аткаруу доосуна кичирээк RSA модулуна караганда жакшы жооп кылат.

Эмнени тандасаңыз да, бир реалдуу туташуу менен сынап көрүңүз жана кол алышуу канча убакыт аларын байкаңыз, акыры туташабы — ошону гана эмес. Он эки секундда ийгиликтүү болгон туташуунун тамыр себеби он беште ийгиликсиз болгон менен бирдей.

Кайра куруу аны жокко чыгара албашы үчүн тандоону жазып коюңуз

Параметр файлын конфигурацияны башкаруу астында кармаңыз жана жанына өлчөмдү, себебин жана датасын жазыңыз. Өз демейкилерин үнсүз жараткан кайра курулган сервер — ошол эле катанын алты айдан кийин кайтып келишинин жолу, ал эми эч ким алгачкы чечимди түшүндүрө албайт.

Ошол эле маалыматты акыркы чекиттин жана профилдин жанына жазыңыз, кароо аны файл өлчөмүнөн кайра курууга мажбур болбосун. Кийинки туташуу тыгылганда, ошол жазуу беш мүнөттүк текшерүү менен жаңы иликтөөнүн ортосундагы айырма. Ал ошондой эле кийинки инженерге жай учурду тез үчүн жасалган оңдоо менен чечүүгө жол бербейт.