OpenVPN-TLS-Chiffrefehler: vergläicht d'éischt béid Géigesäiten

E Fehler „keng gemeinsam Chiffre“ kléngt wéi eng Astellung, déi een ännere muss, an d'Astellung, déi déi meescht Leit änneren, ass déi falsch. OpenVPN hält separat Politike fir de Kontrollkanal, deen den TLS-Handshake mécht, an dee fir de Datekanal, deen d'Pakete bannent dem Tunnel dréit, an de Fehler nennt deen éischten, wärend d'Leit den zweeten editéieren. Wann een vergläicht, wat all Géigesäit erlaabt, an der richtege Rei, ginn aus Vermutungen zwee oder dräi Entscheedungen: Versioun, dunn Suite-Lëscht, dunn Umeldungsdonnéeën.

Verzielt ee sech an dëser Rei, kann een eng Stonn domadder verbréngen, en AES-Numm zu enger Lëscht derbäizesetzen, déi ni konsultéiert gouf.

Zwee Chiffre-Lëschten, an nëmmen eng brécht den Handshake

De Kontrollkanal verhandelt eng TLS-Sessioun, a seng Politik gëtt mat tls-cipher fir TLS 1.2 an tls-ciphersuites fir TLS 1.3 geschriwwen. Den Datekanal gëtt separat mat data-ciphers konfiguréiert, wou eng Onstëmmegkeet eng Verbindung ergëtt, déi sech opbaut a duerno kee Verkéier duerchléisst. Béid erginn Fehler, déi Chiffre nennen, dofir gi s'verweigert. En Handshake, deen ni fäerdeg gëtt, weist op de Kontrollkanal, wärend en opgebauten Tunnel, dee Pakete verléiert, op den Datekanal weist.

Liest d'ganz Noriicht amplaz déi éischt Linn. Eng Ongläichheet vun de Versiounen, eng feelend Suite, en Zertifikatssignatur-Algorithmus, deen d'Géigesäit verwëft, an e Feelschlag vun der Hostnumm-Iwwerpréiwung enden all an engem TLS-Fehler, an nëmmen ee vun hinne geet ëm är Suite-Lëscht. Déi Kategorien auserneenzehalen ass de gréissten Deel vun der Diagnos.

Vergläicht d'Versiounen, éier Dir d'Suiten vergläicht

Eng Géigesäit, déi op TLS 1.2 limitéiert ass, an eng Géigesäit, déi 1.3 verlaangt, deelen keng Versioun, an et gëtt keng Chiffre-Zeechenketten, déi dat iwwerbréckt. Notéiert tls-version-min an tls-version-max op béide Säiten, oder d'Standardwäerter vun de Builds, déi am Gebrauch sinn, well d'OpenSSL-Politik vun enger Distriibutioun de Buedem hiewe kann, ouni datt eng OpenVPN-Astellungs et seet. Wann eng Säit en Apparat oder e Client vun engem Drëtte ass, ass seng Fënster dat, wat seng Firmware erlaabt. Eréischt wann d'Fënsteren sech iwwerdecken, heescht e Suite-Verglach eppes.

Déi Opzeechnunge sollten och déi tatsächlech Binärdateien nennen. En Kommandozeilen-openvpn op ärem Laptop ass net onbedéngt de Client, deen en importéierte Profil verschafft.

D'Lëschte fir TLS 1.2 an TLS 1.3 gi net gemëscht

Suite-Nimm fir TLS 1.2 gesinn esou aus: ECDHE-RSA-AES256-GCM-SHA384 a gehéieren zu tls-cipher, dee eng OpenSSL-Chiffre-Zeechenkett unhëlt. TLS 1.3-Suiten heeschen esou: TLS_AES_256_GCM_SHA384 a gehéieren zu tls-ciphersuites; eng dozou ze setzen an der 1.2-Zeechenkett konfiguréiert net d'1.3-Lëscht, an de Parser kann den Text unhuelen, ouni en je ze entspriechen. E Filter, deen fir eng Versioun richteg ass, seet näischt iwwer déi aner. Schreift op, fir wéi eng Versioun all Lëscht geduecht ass.

openvpn --show-tls dréckt aus, wat de lokale Build ënnerstëtzt, an dat ass en Inventar, net en Verspriechen: déi distanzéiert Géigesäit erlaabt déi Suiten eventuell net, an den aktive Profil aktivéiert s'eventuell net. Benotzt en, fir e Build auszeschléissen, deen iwwerhaapt keng Suite ubidden kann, a vergläicht duerno déi konfiguréiert Lëschten.

Beweist d'Verhandlungs op enger neier Verbindung

En erfollegräichen Handshake ass deen eenzegen Nowäis, deen zielt, an en muss vum richtege Client mam richtege Profil kommen. Erhéicht d'Verbositéit vum Server, verbinnt Iech eemol a liest aus dem Log déi verhandelt Protokollversioun an d'Suite, amplaz unzehuelen, den éischte proposéierte Wäert hätt gewonnen. Duerno bestätegt den Datekanal separat mat Verkéier duerch den Tunnel, well en funktionéierenden Handshake an en défaillenden Datekanal zwee verschidden Reparaturen sinn. Widderhuelt dat no all Konfiguratiounsännerung, well en veraltete Clientprofil en heefege falschen Negativ ass.

Gëtt et keng guttgeheescht gemeinsam Konfiguratioun, ass d'Äntwert en Upgrade oder e Migratiounsplang, net eng geschwächt Politik. tls-version-min erofsetzen, d'Iwwerpréiwung ausschalten oder all al Suite aktivéieren hieft d'Aweise fort, ouni d'Sécherheetsufuerderung z'erfëllen, déi se ervirbruecht huet.

Notéiert déi verhandelt Versioun, d'Suite an d'Datechiffre am Ännerungstick. Déi nächst Persoun, déi op en TLS-Fehler stéisst, fänkt bei där Opzeechnung un an net bei enger Chiffre-Zeechenkett aus engem Forumsbäitrag.