OpenVPN rakto užklausa po OpenSSL 3: patikrinkite tiekėją
Staigi privataus rakto užklausa dažnai seka tiekėjo pasikeitimą, o ne naują slaptažodį. Apžiūrėkite raktą, išbandykite abu tiekėjų rinkinius ir pasilikite slaptafrazę.
Niekas nelietė profilio, tačiau tas pats klientas dabar kiekvieną kartą paleisdamas prašo privataus rakto slaptafrazės. Kai šis pokytis įvyksta per kelias dienas po distribucijos atnaujinimo, tikėtina priežastis yra pats atnaujinimas: OpenSSL 3 pertvarkė algoritmų palaikymą, ir raktas, kurį senoji biblioteka skaitė be vargo, gali tapti neperskaitomu nepakitus nė vienam baitui. Atlikite patikras iš eilės, nes dvi iš jų atrodo vienodai, jei žiūrite tik į užklausą.
Pirmas klausimas – ar raktas užšifruotas, antras – ar šis rinkinys gali jį iššifruoti. Konfigūracijos pakeitimai prasmingi tik tada, kai žinomi abu atsakymai.
Patikrinkite, ar raktas užšifruotas
Perskaitykite pirmąją failo eilutę ir tada leiskite bibliotekai ją išanalizuoti, nes failo pavadinimas nieko neįrodo. PEM blokas su žyme ENCRYPTED PRIVATE KEY yra užšifruotas PKCS#8, o senesnis RSA PRIVATE KEY blokas su Proc-Type: 4,ENCRYPTED yra tradicinė forma, ir abu tikisi slaptafrazės. Neužšifruotas PRIVATE KEY blokas neturėtų jos prašyti visai. Vykdykite analizę su paskyra, kuriai priklauso failas, nes leidimų problema duoda kitokią ir kur kas mažiau įdomią klaidą.
Jei raktas tikrai neužšifruotas, o klientas vis tiek klausia, nustokite žiūrėti į kriptografiją ir patikrinkite, ar profilis nurodo askpass failą, kurį paslauga dar gali perskaityti.
Patikrinkite, ar šis rinkinys gali jį iššifruoti
OpenSSL 3 suskirstė algoritmų palaikymą į tiekėjus, ir dalis senesnių šifrų dabar yra legacy tiekėjuje, o ne numatytajame. Raktas, užšifruotas vienu iš tų šifrų, lieka galiojantis, tačiau be legacy tiekėjo įkelta biblioteka negali jo iššifruoti. Vienuose klientuose tai pasireiškia pasikartojančia užklausa, kituose – kieta nesėkme iškart po slaptafrazės.
Išanalizuokite tą patį raktą du kartus tuo pačiu binariniu failu: pirmiausia tik su numatytuoju tiekėju, paskui su legacy ir numatytuoju, abiem paprašytais komandinėje eilutėje. Jei antrasis bandymas pavyksta ten, kur pirmasis nepavyko, diagnozė remiasi įrodymais, o ne atnaujinimo laiku. Jei abu nepavyksta vienodai, slaptafrazė neteisinga arba failas sugadintas, ir jokia tiekėjo nuostata neištaiso nė vieno.
Patikrinkite siauriausią galimą sprendimą
Teikite pirmenybę klientu apribotam pakeitimui, o ne visai sistemai skirtam. Kai kurie 2.6 rinkiniai priima profilio parinktį, kuri įkelia abu tiekėjus to demono procesui, todėl prieš ja pasikliaudami patvirtinkite direktyvą savo tikslios versijos vadove; redaguoti sisteminį openssl.cnf vietoj to paveikia kiekvieną OpenSSL programą pagrindiniame kompiuteryje. Siauresnė nuostata taip pat daug lengviau atšaukiama, kai raktas bus iš naujo užkoduotas.
Netrinkite slaptafrazės, kad užklausa dingtų. Taip apsaugoti prisijungimo duomenys virsta paprasto teksto failu ir tyliai pakeičiama kiekvienos atsarginės kopijos, kopijos ir pagalbos paketo, kuriame jie atsiras, rizika. Svarbus skirtumas – tarp rakto, kuriam reikia savo slaptafrazės, ir rakto, kurio ši biblioteka negali iššifruoti.
Patikrinkite paslaugos kontekstą, tada užkoduokite iš naujo
Kai raktą galima atrakinti, iš naujo užšifruokite jį šiuolaikiniu algoritmu kad priklausomybė dingtų. Įrašykite naują failą šiuolaikiniu šifru, patikrinkite, kad jis išanalizuojamas, atnaujinkite profilį, o seną kopiją laikykite tik tol, kol pavyks prisijungti. Niekada nedėkite slaptafrazės į komandų eilutę, kur bet kuris vietinis naudotojas gali ją perskaityti iš procesų sąrašo. Pašalinkite seną failą tik po to, kai naujasis prisijungs iš paslaugos paskyros, o ne tik iš jūsų apvalkalo.
Tada patikrinkite įrenginį, kuris iš tikrųjų paleidžia klientą. Raktas, perskaitomas jūsų apvalkale, gali būti neperskaitomas paslaugai, veikiančiai pagal kitą paskyrą arba su sugriežtintu namų katalogo nustatymu.
Užrašykite tiekėjo nuostatą šalia profilio ir laikykite su ja dviejų komandų testą. Kai vėlesnis atnaujinimas pašalins legacy tiekėją, paleiskite tą testą dar kartą ir pažiūrėkite, ar raktui jo dar reikia, ar profilį galima išbraukti iš apėjimo sprendimo.
Užklausa yra simptomas, kuris turi bent tris priežastis, ir tik viena iš jų yra trūkstama slaptafrazė.