SECLEVEL=0 heelt d'Symptom, net d'Zertifikat

Eng OpenVPN-Verbindung fällt aus, een fënnt eng eenzeileg Korrektur, déi SECLEVEL=0 dobäisetzt, an den Tunnel kënnt erop. Wat sech geännert huet, war net d'Zertifikat an net d'Cipher-Suite; eng Bibliothéiksbreed Akzeptanzschwell huet sech verréckelt, an alles, wat de Prozess duerno mécht, ierft déi nei Grenz. Et ass derwäert, dat ze verstoen, ier déi selwecht Zeil an all Profil vun der Ëmwelt kopéiert gëtt.

Bestëmmt, wéi eng Bibliothéik a wéi eng Politique gëllen

SECLEVEL ass e Konzept vun OpenSSL, dofir ass déi éischt Fro, ob ären Build iwwerhaapt OpenSSL benotzt. OpenVPN kann u méi wéi eng Kryptographiebibliothéik gebonne ginn, an eng Astellung, déi fir eng vun hinnen gëllt, ass fir déi aner sënnlos. Frot de Binär, mat wat en gebaut gouf, a frot duerno d'Bibliothéik, wéi eng Versioun a Konfiguratioun si gelueden huet:

openvpn --version | head -3
openssl version -a

Liest d'Versiounsaausgab suergfälteg, well Distributiounen d'Standardwäerter patchen. Verschiddener liwweren eng Systemkonfiguratioun, déi den Mindestniveau iwwer den Upstream-Standard hieft, an dofir verhält sech dee selwechte Profil an zwou Maschinnen mat identeschen OpenVPN-Pakete verschidden. Déi effektiv Politique ass déi, déi de lafende Prozess gelueden huet, net déi aus dem Upstream-Handbuch.

Dann trennt déi zwou Schichten, déi d'Leit verwiesselen. OpenVPN huet seng eege TLS-Kontrollen, dorënner eng Astellung fir de Zertifikatsprofil an explizit Cipher-Lëschten, an déi stinn iwwer allem, wat d'Bibliothéik forcéiert. D'Bibliothéiksniveau erofsetzen ännert net, wéi eng Ciphers är OpenVPN-Konfiguratioun oplëscht, an d'OpenVPN-Lëscht ze verschmäleren hieft d'Schwell vun der Bibliothéik net. Ze wëssen, wéi eng Schicht Iech refuséiert huet, ass dat, wat verhënnert, datt d'Korrektur eng Vermutung bleift.

Trennt déi dräi Saachen, déi kënne refuséiert ginn

Den éischte Kandidat ass Identitéitsmaterial: en Zertifikat, deem säi Schlëssel ze kleng ass oder deem säin Ënnerschrëftalgorithmus d'Politique net méi acceptéiert. Den zweeten ass e Schlësselaustauschparameter, wéi eng Grupp, déi d'Politique als ze schwaach ugesäit. Den drëtten ass eng Cipher-Suite, déi d'Politique ausschléisst. All dräi kënnen e Handshake-Fehler verursaachen, a just den Feelertext an d'Verhandlungsphase ënnerscheeden se.

Keen vun deenen dräi ass de Cipher vum Datenkanal. OpenVPN verhandelt seng Tunnelverschlësselung separat vum TLS-Handshake, dofir seet eng Verbindung, déi no enger Ännerung vum Sécherheetsniveau geléngt, näischt doriwwer, wéi ee Cipher är Donnéeë schützt. Wann d'Fro, déi Dir tatsächlech stellt, d'Vertraulechkeet vun den Donnéeë betrëfft, kuckt Dir op dee komplett falschen Knäppchen.

D'Niveau erofsetzen erweidert d'Akzeptanz fir all dräi Inputen op eemol. Dat ass deen Deel, deen d'Leit iwwersinn: d'Korrektur, déi en ale Zertifikat erloosst, erloosst och eng schwaach Grupp an eng Suite, déi Dir vläicht net wollt erlaben. Een eenzege Feeler huet d'Ännerung ausgeléist, an d'Ännerung ass méi breet wéi de Feeler. Déi Asymmetrie ass de Grond, firwat eng agegrenzt Ausnam besser ass wéi en Standard fir déi ganz Ëmwelt.

Ännert den Input, net d'Schwell

Bewahrt de geneeë Feeler, ier Dir d'Konfiguratioun beréiert, och d'Phase, déi en gemellt huet, an dat Objet, dat en ernannt huet. E Zertifikatsproblem gëtt geléist, andeems den Zertifikat duerch eppes ersat gëtt, wat déi aktuell Politique acceptéiert, wat normalerweis bedeit, en bei der Autoritéit nei auszestellen amplaz déi selwecht Datei nei z'installéieren.

Wann den refuséierten Input zu engem Peer gehéiert, deen Dir net kontrolléiert, ass d'Gespréich mam Propriétaire vun deem Peer iwwer ënnerstëtzten Ersatzmaterial. Är eege Schwell erofsetzen, fir e System ze beherbergen, deen een net ënnerhält, verlagert d'Käschte vun hinnen op all déi, déi duerno verbannen.

Wou de Server d'Politique ëmsetzt, préift, ob eng Astellung op OpenVPN-Niveau déi tatsächlech Ursaach ass, ier Dir d'Bibliothéik beschëllegt. En Zertifikatsprofil, dee eng méi streng Klass verlaangt, wéi dee deployéierten Zertifikat erfëlle kann, wäert feelen, egal wéi den Sécherheetsniveau steet, an dee Profil ewechzehuelen ass eng méi schmuel Ännerung wéi d'Kontrollen vun der Bibliothéik auszeschalten.

Wann Dir et musst erofsetzen, begrenzt et a dokumentéiert et

Heiansdo ass eng genehmegt Kompatibilitéitsausnam déi richteg Äntwert, besonnesch fir en ale Peer mat engem datéierte Pensiounsplang. Begrenzt se op de Service, deen se brauch, amplaz op den ganze Host: eng servicespezifesch Konfiguratiounsdatei oder eng dedizéiert OpenSSL-Konfiguratioun huet en méi klengen Aflossradius wéi en Export am globale Profil.

Schreift véier Saachen mat der Ausnam op: déi genee Astellung, de Propriétaire, deen se genehmegt huet, d'Cliente, déi se betrëfft, an d'Konditioun, ënner där se ewechgeholl gëtt. Eng Ausnam ouni Pensiounskonditioun ass eng permanent Schwächung mat enger temporärer Justifikatioun drop.

De Rollback sollt een eenzegen Schrëtt sinn, deen Dir schonn getest hutt. Behaalt déi vireg Konfiguratioun, setzt d'Ännerung ëm, bestätegt, datt de Service start, a wësst genee, wéi eng Datei ze restauréieren ass, wann déi nächst Verbindung anescht verhält wéi erwaart.

Verifizéiert Identitéit a Schutz duerno

Eng erfollegräich Verbindung beweist just, datt déi revidéiert Konditiounen se eragelooss hunn. Bestätegt, datt d'Hostnumm- a Peer-Verifikatioun nach ëmmer hir Aarbecht mécht, datt den Zertifikat am Gebrauch deejenige ass, deen Dir wollt deployéieren, an datt den ausgehandelte Datenkanal mat der Politik entsprécht, déi Dir mengt ze hunn.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

D'OpenSSL-Referenz zu de Sécherheetsniveauen seet kloer, datt de Framework Limiten op Schlësselen, Ënnerschrëften, Gruppen a Suiten zesummen uwent, an datt Niveau null alles erlaabt, wat de Callback préift. Dat ass de Scope vun deem, wat Dir geännert hutt, an dat ass de Saz, deen een zitéiert, wann een freet, ob d'Korrektur schmuel war.

D'Iwwergab, déi en Audit iwwersteet, seet, wéi eng Politique wéi en Input refuséiert huet, wat geännert gouf a wat doduerch nach acceptéiert gëtt. „Et funktionéiert mat SECLEVEL=0“ ass eng Observatioun iwwer eng Verbindung, keng Sécherheetsbewäertung vum Deployment.