SHA1 kopsavilkuma nosaukumi OpenSSL: ko nozīmē vecs saraksts

Vecie kopsavilkumu saraksti tiek lasīti kā kriptogrāfisku lēmumu atšifrējums, un tādi tie nav. Tādi nosaukumi kā SHA1, DSA-SHA1-old vai RSA-SHA1-2 stāv blakus vecos OpenSSL komplektos, jo bibliotēka reģistrēja vairākus ievades punktus ap saistītu jaucējmašīnu. RSA vai DSA atzīme šajā sarakstā neko nepasaka par to, ko OpenVPN izdarīja ar paketi. Tas, ko jūs lasāt, ir bibliotēkas inventārs, nevis sesijas ieraksts.

Pirms jebkura secinājuma jēgas ir jāatdala trīs lietas: reģistrētais nosaukums, zem tā esošais kopsavilkuma aprēķins un to patērējošā darbība.

Reģistrācija ir saskarne, nevis stipruma novērtējums

OpenSSL 1.0.2 kopsavilkumu reģistrācijas tabula vienā failā sasaista nosaukumus, aizstājvārdus un ieviešanas. Vecais DSS1 apraksts ir visdrošākais gadījums: tas norāda SHA-1 izvades garumu un izsauc SHA-1 pabeigšanas rutīnu, vienlaikus nēsājot nosaukumu, kas liek domāt par pavisam citu algoritmu. Tāpēc papildu burti reģistrācijā nenozīmē citu jaucējfunkciju, garāku izvadi vai jaunu drošības līmeni.

Tas pats avots saglabā aizstājvārdu attiecības vecākiem izsaucējiem, kas izskaidro, kāpēc saraksts izskatās pārpildīts. Tā ir saderības dokumentācija, nevis solījums, ka pašreizējais OpenSSL nodrošinātājs piedāvās identiskus nosaukumus.

Parakstīšanas nosaukumi nerada parakstus

Parakstīšanas ietvars var piesaistīt kopsavilkumu cita algoritma saskarnei, lai esošie izsaucēji turpinātu kompilēties. Īstam publiskās atslēgas parakstam vajag gan atslēgu, gan to izmantojošo parakstīšanas soli, un ne vienu no tiem nepiegādā nosaukums izvēlnē. RSA pieskaņas kopsavilkuma ieraksts ir nosaukums, ko izsaucējs drīkst lietot, nevis pierādījums, ka katrs VPN pakets nesa RSA parakstu.

Tieši šajā solī vecāki teksti noslīd folklorā. Ja jums jāzina, kā paketes tika autentificētas, atrodiet opciju, kas izvēlējās mehānismu, un izlasiet, ko tā dara versijā, kuru jūs patiešām izpildāt. Ar šo laidienu piegādātā rokasgrāmatas lapa ir vienīgais apraksts, kas atbilst programmai jūsu priekšā. Arhivētās rokasgrāmatas apraksta laidienu, kuram tās tika rakstītas, un tas var atpalikt par vairākām nosaukumu konvencijām.

Atrodiet opciju, kas patērēja nosaukumu

Gadījumā ar pakešu autentifikāciju, ko dokumentē OpenVPN 2.6, auth izvēlas kopsavilkumu, ko izmanto HMAC, atslēgota ziņojumu autentifikācijas konstrukcija, nevis sertifikāta paraksts. TLS sertifikāta parakstīšanas algoritms ir atsevišķa rokasspiediena īpašība.

Ar AEAD datu šifru atsevišķais iestatījums auth pārstāj attiekties uz datu kanālu, bet tā loma tls-auth joprojām ir atsevišķs jautājums. Tāpēc kopsavilkumu saraksts nevar pateikt, kura jaucējfunkcija aizsargāja pašreizējās paketes, kura TLS komplektācija tika saskaņota vai kā tika parakstīts otras puses sertifikāts. Tikai faktiskā konfigurācija kopā ar versiju var atbildēt, un tikai par savienojumu jūsu priekšā.

Pierakstiet, kas jums patiešām ir

Pierakstiet OpenVPN versiju, piesaistīto kriptogrāfijas bibliotēku, precīzās opcijas profilā un reāla savienojuma rezultātu. Šis kopums atbild uz jautājumiem, uz kuriem nevar atbildēt kopsavilkumu izvēlnes ekrānuzņēmums, un tas pārdzīvo nākamo atjauninājumu, jo nosauc versijas, nevis iespaidus.

Vispirms neizvēlieties vecu aizstājvārdu tāpēc, ka tā nosaukums skan stiprāk vai konkrētāk. Izvēlieties atbalstīto politiku visam savienojumam un uzskatiet vecos nosaukumus par ierakstu par to, kā bibliotēka agrāk sevi prezentēja.