OpenVPN-Schlësselufro no OpenSSL 3: iwwerpréift den Ubidder

Niemand huet de Profil ugefaasst, an trotzdeem verlaangt dee selwechte Client elo bei all Start eng Passphrase fir de private Schlëssel. Wann déi Ännerung bannent Deeg no engem Upgrade vun der Distributioun geschitt, ass d’Upgrade déi warscheinlech Ursaach: OpenSSL 3 huet seng Ënnerstëtzung fir Algorithmen nei organiséiert, an e Schlëssel, deen déi al Bibliothéik ouni Problemer gelies huet, kann onliesbar ginn, ouni datt ee Byte sech ännert. Maacht d’Iwwerpréiwungen an der Rei, well zwee vun hinne gläich ausgesinn, wann een nëmmen d’Ufro kuckt.

Déi éischt Fro ass, ob de Schlëssel verschlësselt ass, an déi zweet, ob dëse Build en entschlëssele kann. Konfiguratiounsännerunge maachen eréischt Sënn, wann béid Äntwerten bekannt sinn.

Iwwerpréift, ob de Schlëssel verschlësselt ass

Liest déi éischt Zeil vun der Datei an da loosst d’Bibliothéik se parsen, well en Dateinumm beweist näischt. E PEM-Block mam Label ENCRYPTED PRIVATE KEY ass verschlësselte PKCS#8, an en eelere RSA PRIVATE KEY Block mat Proc-Type: 4,ENCRYPTED ass déi traditionell Form, a béid erwaarden eng Passphrase. En onverschlësselte PRIVATE KEY Block soll iwwerhaapt keng froen. Fëllt de Parse mam Kont aus, deem d’Datei gehéiert, well e Berechtegungsproblem eng aner a vill manner interessant Feeler gëtt.

Wann de Schlëssel wierklech onverschlësselt ass an de Client nach ëmmer freet, da stoppt d’Kucken op Kryptografie a préift, ob de Profil eng askpass-Datei nennt, déi de Service nach liese kann.

Iwwerpréift, ob dëse Build en entschlëssele kann

OpenSSL 3 huet seng Ënnerstëtzung fir Algorithmen an Ubidder opgedeelt, an eng Rei eeler Chiffre läit elo am legacy-Ubidder amplaz am Standard-Ubidder. E Schlëssel, dee mat enger vun dëse Chiffre verschlësselt ass, bleift gülteg, awer eng Bibliothéik, déi ouni den legacy-Ubidder gelueden ass, kann en net dekodéieren. Bei e puer Cliente weist sech dat als eng Ufro, déi sech widderhëlt, bei aneren als haarde Feelschlag direkt no der Passphrase.

Parst dee selwechte Schlëssel zweemol mam selwechte Binär: fir d’éischt nëmme mam Standard-Ubidder, duerno mat legacy an Standard allen zwee op der Kommandozeil gefrot. Wann déi zweet Versich do geléngt, wou déi éischt gescheitert ass, stäipt d’Diagnos op Beweiser an net op den Zäitpunkt vun engem Upgrade. Wann béid identesch scheiteren, ass d’Passphrase falsch oder d’Datei beschiedegt, an keng Ubidder-Astellung reparéiert eng vun de béide.

Iwwerpréift déi engstméiglech Korrektur

Bevirzugt eng Ännerung, déi op de Client begrenzt ass, géintiwwer enger systemwäiter. E puer 2.6-Builden akzeptéieren eng Profiloptioun, déi béid Ubidder fir de Prozess vun deem Daemon lued, also iwwerpréift d’Direktiv am Handbuch fir Är genau Versioun, ier Dir Iech drop verloosst; d’System-openssl.cnf z’änneren dogéint beaflosst all OpenSSL-Programm um Host. Déi méi enk Astellung ass och vill méi einfach zréckzesetzen, soubal de Schlëssel nei kodéiert ass.

Läscht d’Passphrase net, fir datt d’Ufro verschwënnt. Dat verwandelt e geschützte Berechtegungsnoweis an eng Plaintext-Datei an ännert roueg de Risiko vun all Backup, Kopie a Supportbündel, an deem en erschéngt. Den Ënnerscheed, deen zielt, ass tëschent engem Schlëssel, deen seng Passphrase brauch, an engem Schlëssel, deen dës Bibliothéik net dekodéiere kann.

Iwwerpréift de Servicekontext, da kodéiert nei

Soubal de Schlëssel opgespaart ka ginn, verschlësselt en nei mat engem aktuelle Algorithmus sou datt d’Ofhängegkeet verschwënnt. Schreift déi nei Datei mat enger moderner Chiffre, verifizéiert, datt se parst, aktualiséiert de Profil a behält déi al Kopie nëmmen, bis eng Verbindung geléngt. Setzt d’Passphrase ni op eng Kommandozeil, wou all lokale Benotzer se aus der Prozesslëscht liese kann. Entfernt déi al Datei eréischt, nodeems déi nei vum Servicekont aus verbonnen huet, net nëmmen aus Ärer Shell.

Da préift d’Eenheet, déi de Client tatsächlech ausféiert. E Schlëssel, deen an Ärer Shell liesbar ass, kann onliesbar si fir e Service, deen ënner engem anere Kont oder mat enger gehärteter Heemverzeechnis-Astellung leeft.

Notéiert d’Ubidder-Astellung niewent dem Profil a behält den Zwee-Kommando-Test dobäi. Wann en spéideren Upgrade den legacy-Ubidder ewechhëlt, féiert deen Test nach eng Kéier aus, fir ze gesinn, ob de Schlëssel en nach brauch oder ob de Profil aus dem Workaround erausgeholl ka ginn.

Eng Ufro ass e Symptom mat op d’mannst dräi Ursaachen, an nëmmen eng dovun ass eng feelend Passphrase.