SSTP жана SSL 3.0: белги жана келишилген версия

Эки адам бир SSTP жайгаштырууга карап, карама-каршы тыянакка келиши мүмкүн. Бирөө продукт документтерин окуп, SSL тамгаларын көрүп, туннель жылдар мурун алынып салынган протоколду иштетип жатат деп болжолдойт. Экинчиси заманбап кол алышууга көрсөтүп, маселе жабылды дейт. Экөө тең келишилген версиядан эмес, белгилерден талашат жана булардын бир гана далил. Жасоого татыктуу салыштыруу — ат убада кылган нерсе менен кызмат чындыгында тандаган нерсенин ортосунда.

Бир суроого эки жооп

Белги далилин айтуу оңой: SSTP коопсуз сокеттик туннель протоколу деп сүрөттөлөт, тарыхый аталышы SSL дейт, ошондуктан туташуу SSL 3.0 болушу керек. Ал ат чын эле ошол сызыктан келгени жана аны кайталагандардын көбү эч качан кол алышууга карабаганы үчүн турусуп турат. Ошондой эле тыянак этият угулганы үчүн турусуп турат, эң жаманын болжолдоо коопсуз тандоо сыяктуу. Эң жаманын болжолдоо жана чыныгы версияны өлчөө эки бөлөк иш жана алардын бири гана бир нерсени өзгөртөт.

Далилдин далили тарыраак суроо коёт. Бул клиент жана бул сервер ушул акыркы чекитте, ушул убакта кайсы протокол версиясы боюнча келишти? Жооп TLSди бүтүргөн кызматтан келет, кандайдыр бир маркетинг баракчасынан же окшош аттуу сайтка жеткен браузерден эмес.

Эки далил эмнени далилдей алары менен айырмаланат. Белги эски жайгаштырууну жамалгандан ажырата албайт, ал эми кол алышуу ошол хосттогу байланышсыз кызмат эмне кылып жатканын айта албайт. Экинчисин колдонуңуз жана биринчисин колдонууну токтотуңуз.

Кызмат чындыгында тандаган версияны окуңуз

Компоненттерди атоодон баштаңыз: клиент ишке ашырылышы, сервер ишке ашырылышы, TLS акыркы чекити жана алардын ортосунда TLSди бүтүрүп, кайра орноткон бардык нерсе. TLSди бүтүрүп, бэкенд менен жөнөкөй HTTP сүйлөгөн жүктөө теңдештиргичи кайсы түзмөктүн саясатын окуу керектигин өзгөртөт.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Акыркы чекитти жана убакытты натыйжанын жанына жазыңыз, анткени саясаттын кийинки өзгөрүүсү күнү жок байкоону пайдасыз кылат. Текшерүүнү сиз үчүн маанилүү колдонуучулар менен бир тармактык жолдогу клиенттен кайталаңыз, анткени тоскоолдук кылган түзмөк TLSди өз жөндөөлөрү менен бүтүрө алат. Эки позиция дал келбесе, маанилүү компонентти таптыңыз. Дал келсе, ураандын ордуна далилиңиз бар.

Жазуу талаасын сүйлөшүүлөрдөн бөлүңүз

Бир талаадагы эски көрүнгөн версия номери SSL 3.0 сессиясы менен бирдей факт эмес. RFC 7568 жазуу катмарынын версиясын жана келишилген протоколду өзүнчө маселелер деп карайт жана өзүнө ишенген туура эмес жооптор дал ушул айырмадан чыгат. Келишилген протоколду окуңуз, анан шифрди, ошондон кийин гана сессия жөнүндө тыянак чыгарыңыз.

Ошол документ протоколдун өзү жөнүндө бир маанилүү: SSL 3.0 колдонулбашы керек, ага сүйлөшүү же артка кайтууга тыюу салынган. Себеби POODLE чабуулу пайдаланган бузулган CBC түзүлүшү жана бул протоколдун касиети, бир колдонмонун конфигурациясы эмес.

Ошондуктан „бул жүктөмөнү пайдалануу кыйын болушу мүмкүн“ деген SSL 3.0ди күйүк турууга далил эмес. Талап — протоколду алып салуу, бир көрсөтүү тууралуу талашты жеңүү эмес.

SSL 3.0ди коргой алган саясат менен колдонуудан чыгарыңыз

Windowsта Schannel протокол жөндөөлөрү Protocols ачкычынын астында жайгашкан жана клиент менен сервер ролу үчүн өзүнчө окулат, ошондуктан бир багытты оңдогон өзгөртүү экинчисин тийбестен калтырышы мүмкүн. Учурдагы жөндөөлөр жана алардын кайра баштоо талаптары Microsoft тарабынан документтелген, ал эми ошол эле хосттогу үчүнчү тараптын TLS китепканасы аларды толугу менен эске албайт.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Саясатты колдоого алынган башкаруу жолу менен өзгөртүңүз, ээси кызмат конфигурацияны кайра аларын ырастаңыз жана кайтуунун уруксат берилген жолун сактаңыз. Башка чөйрөдөн кең реестр скриптин койгон — бир кызматтын оңдоосу машинадагы ар бир TLS клиенти үчүн үзгүлтүккө айлануучу ыкма. Бул жерде кайра баштоо камтылышы маанилүү: колдонулгандай көрүнгөн жөндөөнү аны кайра жүктөбөгөн кызматтын эсинде али кармап турушу мүмкүн.

Али эскирген версияны талап кылган өнөктөшкө жаңыртуу же көчүрүү планы керек. Эски протоколду үнсүз калыбына келтирген документтелбеген өзгөчөлүк шайкештик стратегиясы эмес жана кийинки аудиттен өтпөйт.

Өзгөртүүнү жаңы туташуулар менен кабыл алыңыз

Саясат өзгөргөндөн кийин жаңы сессиялар менен сынаңыз, анткени өзгөртүүгө чейин орнотулган туташуу азыр күчүндөгү конфигурация жөнүндө эч нерсе далилдебейт. Уруксат берилген протокол ийгиликтүү, тыюу салынган протокол ыйгарым укуктуу текшерүү процессинде ийгиликсиз болорун ырастаңыз, анан сертификаттын инсандыгы менен ишеним текшерүүлөрүн мурункудай калтырыңыз.

Кол алышуу эмнени камтыбаарын эстеңиз. SSTP TLS катмарынан кийин PPP аутентификациясын алып жүрөт, ошондуктан заманбап протокол версиясы кайсы колдонуучуга уруксат берилгенин же сессия кайсы ресурстарга жете аларын эч нерсе айтпайт. Бул бөлөк далилдери бар бөлөк көзөмөлдөр.

Натыйжаны кызмат, бэкенд, уруксат берилген саясат жана байкалган версия катары жазыңыз. Мындай жазуу коопсуздук суроосуна так жооп берет; муну белги далили да, ыңгайсыздык далили да эч качан жасабайт.