AES-256-GCM net fonnt: Client-Fäegkeet oder Verhandlung?

En OpenVPN-Profil, deen anzwousch anescht funktionéiert, mellt, datt AES-256-GCM net fonnt gëtt, oder datt d’Géigendeeler keng gemeinsam Chiffre deelen, an den éischten Impuls ass de Profil ze änneren. Déi zwou Message beschreiwen ënnerschiddlech Feeler. Déi eng seet, datt de lokale Programm deen Algorithmus net huet; déi aner, datt béid Säiten Algorithmen hunn, awer keng gemeinsam Wiel. De Profil z’änneren hëlleft weder dem engem nach dem aneren, bis Dir wësst, wéi een Dir hutt.

Liest den exakte Feelertext an de Programm, deen en erstallt huet.

Bestëmmt, wéi e Feeler Dir hutt

D’Message iwwer eng Chiffre, déi net fonnt gëtt, kënnt aus der Optiounsanalyse op der lokaler Maschinn, ier e Paket geschéckt gëtt. Et bedeit, datt d’ausféierbar Datei virun Iech, oder d’Bibliothéik un déi se gebonnen ass, deen Algorithmus net ubitt. D’Message iwwer keng gemeinsam Chiffre kënnt méi spéit, wärend der Verhandlung, a bedeit, datt béid Säiten Chiffren ënnerstëtzen, sech awer net op eng eenzeg kënnen eenegen.

Den Ënnerscheed ass wichteg, well dat engt e Software-Versiounsproblem ass an dat anert e Konfiguratiounsproblem. Dat éischt léist eng Versiounsnummer. Dat zweet léist de Verglach vun zwou Lëschten.

Eng lokal Fäegkeetslück

Al Gemeinschaftsbuilds sinn eeler wéi déi modern Standardwäerter, an eng Desktop-Applikatioun kann hir eege Engine matbréngen, déi sech vum Kommandozeilepaket ënnerscheet, deen niewendrun installéiert ass. Maacht d’Kontrollen op där ausféierbarer Datei, déi d’Verbindung tatsächlech gestart huet, a wielt duerno e ënnerstëtzte Build, amplaz engem ale Programm en neien Algorithmus bäizebréngen.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Wann AES-256-GCM net an där Lëscht steet, füügt keng Profilslinn et derbäi. D’Léisung ass en neie Client oder en anere Build, an d’Aschränkunge vun der eelerer Säit ginn eng eegen Designfro.

Bei Cliente op Basis vun OpenVPN 3 ënnerscheede sech d’Engine an déi akzeptéiert Direktiven vun der Gemeinschaftslinn 2.x, dofir kann dee selwechte Profilstext aus Grënn feelen, déi näischt mat der Chiffrelëscht ze dinn hunn.

Eng Verhandlungslück

Wa béid Géigendeeler den Algorithmus oplëschten, bleift d’Fro, wéi eng Lëscht all Säit ubitt. D’Gemeinschafts-OpenVPN huet d’Verhandlungsdirektiv ëmbenannt: ncp-ciphers an 2.4 gouf data-ciphers an 2.5, an an 2.6 déngt déi eeler cipher-Linn haaptsächlech der Kompatibilitéit an dem Réckfall, net der Festleeung vum verhandelte Set.

Dofir kann eng Ännerung nëmmen un enger aler cipher-Linn d’Verhandlungslescht onberéiert loossen. Déi al Linn ass nach wichteg fir de Réckfall, an dat ass eng eege Aufgab. Béides ze verwiesselen ergëtt Ännerungen, déi sichtbar näischt bewierken.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Vergläicht d’Lëschte vun béiden Enner an d’Oflehnungsmessage vum Server. Wann d’Schnëttfläch eidel ass, alignéiert d’Lëschten bewosst, amplaz e Wäert aus engem Artikel ze kopéieren, deen fir eng aner Versioun geschriwwe gouf. Eng ze grouss Lëscht schwächt stëll all Verbindung. Eng ze enk Lëscht schléisst de Géigendeel aus, deen Dir wëllt behalen.

Halt d’Kompatibilitéit explizit

E Réckfall fir en ale Géigendeel ass eng Entscheedung mat Käschten: déi ganz Ausrollung akzeptéiert eng méi schwaach Optioun, sou datt een Apparat sech ka verbannen. Schreift et als esou op, a beschränkt et op de Géigendeel, deen et brauch.

Zwou Konditioune entscheeden d’Resultat. Wann de Feeler lokal ass, ersetzt de Build. Wann de Feeler verhandelt ass, alignéiert d’Lëschten op béide Säiten a notéiert, wéi eng Versiounen Dir ënnerstëtzt.

Mellt duerno den exakte Feeler mat der Versiouns- a Fäegkeetsausgab derbäi. Dëst Paar trennt en feelenden Algorithmus vun enger Meenungsverschiddenheet an hält déi nächst Ronn spekulativ Ännerungen op, ier se ufänkt.