OpenVPN atslēgas uzvedne pēc OpenSSL 3: pārbaudiet nodrošinātāju

Neviens profilu nav aizticis, tomēr tas pats klients tagad katrā palaišanā pieprasa privātās atslēgas piekļuves frāzi. Ja šī izmaiņa parādās dažu dienu laikā pēc distributīva atjauninājuma, iespējamais iemesls ir pats atjauninājums: OpenSSL 3 pārkārtoja algoritmu atbalstu, un atslēga, kuru vecā bibliotēka nolasīja bez problēmām, var kļūt nelasāma, nemainoties nevienam baitam. Veiciet pārbaudes pēc kārtas, jo divas no tām izskatās vienādi, ja skatāties tikai uz uzvedni.

Pirmais jautājums ir, vai atslēga ir šifrēta, un otrais – vai šī būve to spēj atšifrēt. Konfigurācijas izmaiņām ir jēga tikai pēc tam, kad zināmas abas atbildes.

Pārbaudiet, vai atslēga ir šifrēta

Izlasiet faila pirmo rindu un pēc tam ļaujiet bibliotēkai to parsēt, jo faila nosaukums neko nepierāda. PEM bloks ar apzīmējumu ENCRYPTED PRIVATE KEY ir šifrēts PKCS#8, un vecāks RSA PRIVATE KEY bloks ar Proc-Type: 4,ENCRYPTED ir tradicionālā forma, un abi gaida piekļuves frāzi. Nešifrēts PRIVATE KEY bloks to nemaz nedrīkstētu pieprasīt. Palaidiet parsēšanu ar kontu, kuram pieder fails, jo atļauju problēma dod citu un daudz mazāk interesantu kļūdu.

Ja atslēga tiešām nav šifrēta un klients joprojām jautā, pārtrauciet skatīties uz kriptogrāfiju un pārbaudiet, vai profils nenosauc askpass failu, kuru pakalpojums vēl var nolasīt.

Pārbaudiet, vai šī būve to spēj atšifrēt

OpenSSL 3 sadalīja algoritmu atbalstu nodrošinātājos, un virkne vecāku šifru tagad atrodas legacy nodrošinātājā, nevis noklusējuma. Atslēga, kas šifrēta ar kādu no tiem, paliek derīga, taču bibliotēka, kas ielādēta bez legacy nodrošinātāja, to nevar atšifrēt. Dažos klientos tas izpaužas kā atkārtota uzvedne, citos kā stingra kļūme tūlīt pēc piekļuves frāzes.

Parsējiet to pašu atslēgu divreiz ar to pašu bināro failu: vispirms tikai ar noklusējuma nodrošinātāju, pēc tam ar legacy un noklusējuma abiem pieprasītiem komandrindā. Ja otrais mēģinājums izdodas tur, kur pirmais neizdevās, diagnoze balstās uz pierādījumiem, nevis uz atjauninājuma laiku. Ja abi neizdodas vienādi, piekļuves frāze ir nepareiza vai fails ir bojāts, un neviens nodrošinātāja iestatījums nelabo ne vienu, ne otru.

Pārbaudiet šaurāko pieejamo labojumu

Dodiet priekšroku klientā ierobežotai izmaiņai, nevis visai sistēmai paredzētai. Dažas 2.6 būves pieņem profila opciju, kas ielādē abus nodrošinātājus tā dēmona procesam, tāpēc pirms paļaušanās uz to pārbaudiet direktīvu rokasgrāmatā savai precīzajai versijai; sistēmas openssl.cnf rediģēšana tā vietā ietekmē katru OpenSSL programmu resursdatorā. Šaurākais iestatījums arī ir daudz vieglāk atgriežams, kad atslēga būs pārkodēta.

Nedzēsiet piekļuves frāzi, lai uzvedne pazustu. Tas pārvērš aizsargātu akreditācijas datu kopu vienkārša teksta failā un klusi maina riska līmeni ikvienai rezerves kopijai, kopijai un atbalsta pakotnei, kurā tā parādās. Svarīgā atšķirība ir starp atslēgu, kurai vajadzīga sava piekļuves frāze, un atslēgu, kuru šī bibliotēka nevar atšifrēt.

Pārbaudiet pakalpojuma kontekstu, pēc tam pārkodējiet

Kad atslēgu var atslēgt, no jauna šifrējiet to ar mūsdienīgu algoritmu lai atkarība pazustu. Ierakstiet jauno failu ar mūsdienīgu šifru, pārbaudiet, ka tas parsējas, atjauniniet profilu un paturiet veco kopiju tikai līdz brīdim, kad savienojums izdodas. Nekad nelieciet piekļuves frāzi komandrindā, kur jebkurš vietējais lietotājs to var nolasīt no procesu saraksta. Noņemiet veco failu tikai pēc tam, kad jaunais ir savienojies no pakalpojuma konta, nevis tikai no jūsu čaulas.

Pēc tam pārbaudiet vienību, kas patiešām palaiž klientu. Atslēga, kas lasāma jūsu čaulā, var būt nelasāma pakalpojumam, kas darbojas citā kontā vai ar stingrāku mājas direktorijas iestatījumu.

Pierakstiet nodrošinātāja iestatījumu blakus profilam un turiet pie tā divu komandu testu. Kad vēlāks atjauninājums noņems legacy nodrošinātāju, palaidiet šo testu vēlreiz, lai redzētu, vai atslēgai tas vēl vajadzīgs vai profilu var izņemt no apiešanas risinājuma.

Uzvedne ir simptoms ar vismaz trim cēloņiem, un tikai viens no tiem ir trūkstoša piekļuves frāze.