OpenVPN TLS സൈഫർ പിശക്: ആദ്യം ഇരു വശങ്ങളും താരതമ്യം ചെയ്യുക

«പൊതുവായ സൈഫർ ഇല്ല» എന്ന പിശക് ഒരു ക്രമീകരണം മാറ്റിയാൽ മതി എന്ന് തോന്നും, പക്ഷേ മിക്ക ആളുകളും മാറ്റുന്ന ക്രമീകരണം തെറ്റായതാണ്. OpenVPN TLS ഹാൻഡ്ഷേക്ക് നടത്തുന്ന നിയന്ത്രണ ചാനലിനും ടണലിനുള്ളിൽ പാക്കറ്റുകൾ കൊണ്ടുപോകുന്ന ഡാറ്റ ചാനലിനും വെവ്വേറെ നയങ്ങൾ സൂക്ഷിക്കുന്നു, പിശക് ആദ്യത്തേതിനെ സൂചിപ്പിക്കുമ്പോൾ ആളുകൾ രണ്ടാമത്തേത് തിരുത്തുന്നു. ഓരോ വശവും എന്ത് അനുവദിക്കുന്നു എന്നത് ശരിയായ ക്രമത്തിൽ താരതമ്യം ചെയ്യുന്നത് ഊഹത്തെ രണ്ടോ മൂന്നോ തീരുമാനങ്ങളാക്കുന്നു: പതിപ്പ്, പിന്നീട് സ്യൂട്ട് പട്ടിക, പിന്നീട് ക്രെഡൻഷ്യലുകൾ.

ഈ ക്രമം തെറ്റിയാൽ ഒരിക്കലും പരിശോധിക്കാത്ത ഒരു പട്ടികയിൽ AES പേര് ചേർക്കാൻ ഒരു മണിക്കൂർ കളയാം.

രണ്ട് സൈഫർ പട്ടികകൾ, ഹാൻഡ്ഷേക്ക് തകർക്കുന്നത് ഒന്ന് മാത്രം

നിയന്ത്രണ ചാനൽ ഒരു TLS സെഷനിൽ ചർച്ച നടത്തുന്നു, അതിന്റെ നയം ഇതിലൂടെ എഴുതുന്നു: tls-cipher TLS 1.2 നായി, tls-ciphersuites TLS 1.3 നായി. ഡാറ്റ ചാനൽ വെവ്വേറെ ഇതിലൂടെ ക്രമീകരിക്കുന്നു: data-ciphers, ഇവിടെ പൊരുത്തക്കേട് കണക്ഷൻ സ്ഥാപിക്കുകയും പിന്നീട് ട്രാഫിക് കടത്തിവിടാൻ കഴിയാതിരിക്കുകയും ചെയ്യുന്നു. രണ്ടും സൈഫർ പരാമർശിക്കുന്ന പിശകുകൾ നൽകുന്നു, അതുകൊണ്ടാണ് അവ കൂട്ടിക്കലരുന്നത്. ഒരിക്കലും പൂർത്തിയാകാത്ത ഹാൻഡ്ഷേക്ക് നിയന്ത്രണ ചാനലിനെ സൂചിപ്പിക്കുന്നു, അതേസമയം സ്ഥാപിതമായ ടണൽ പാക്കറ്റുകൾ വീഴ്ത്തിയാൽ അത് ഡാറ്റ ചാനലിനെ സൂചിപ്പിക്കുന്നു.

ആദ്യ വരിയല്ല, മുഴുവൻ സന്ദേശവും വായിക്കുക. പതിപ്പ് പൊരുത്തക്കേട്, ഇല്ലാത്ത സ്യൂട്ട്, വശം നിരസിക്കുന്ന സർട്ടിഫിക്കറ്റ് ഒപ്പ് അൽഗോരിതം, ഹോസ്റ്റ്നാമം പരിശോധനയുടെ പരാജയം — എല്ലാം TLS പിശകിൽ അവസാനിക്കുന്നു, അവയിൽ ഒന്ന് മാത്രമാണ് നിങ്ങളുടെ സ്യൂട്ട് പട്ടികയെക്കുറിച്ചുള്ളത്. ഈ വിഭാഗങ്ങളെ വേർതിരിക്കുന്നതാണ് രോഗനിർണയത്തിന്റെ വലിയ ഭാഗം.

സ്യൂട്ടുകൾ താരതമ്യം ചെയ്യുന്നതിന് മുൻപ് പതിപ്പുകൾ താരതമ്യം ചെയ്യുക

TLS 1.2 ആയി പരിമിതപ്പെടുത്തിയ വശവും 1.3 ആവശ്യപ്പെടുന്ന വശവും പൊതുവായ പതിപ്പ് പങ്കിടുന്നില്ല, ഏതെങ്കിലും സൈഫർ സ്ട്രിംഗ് അത് ബന്ധിപ്പിക്കുന്നുമില്ല. ഇരു വശങ്ങളിലും tls-version-min കൂടാതെ tls-version-max രേഖപ്പെടുത്തുക, അല്ലെങ്കിൽ ഉപയോഗിക്കുന്ന ബിൽഡുകളുടെ സ്ഥിരസ്ഥിതികൾ, കാരണം ഒരു വിതരണത്തിന്റെ OpenSSL നയം ഏതെങ്കിലും OpenVPN ഓപ്ഷൻ പറയാതെ താഴ്ന്ന പരിധി ഉയർത്തിയേക്കാം. ഒരു വശം ഉപകരണമോ മൂന്നാം കക്ഷി ക്ലയന്റോ ആണെങ്കിൽ, അതിന്റെ വിൻഡോ അതിന്റെ ഫേംവെയർ അനുവദിക്കുന്നതാണ്. വിൻഡോകൾ ഒന്നിച്ചുചേരുമ്പോൾ മാത്രമേ സ്യൂട്ട് താരതമ്യത്തിന് അർത്ഥമുള്ളൂ.

ആ രേഖകൾ യഥാർത്ഥ ബൈനറികളുടെ പേരും നൽകണം. നിങ്ങളുടെ ലാപ്ടോപ്പിലെ കമാൻഡ്ലൈൻ openvpn ഇറക്കുമതി ചെയ്ത പ്രൊഫൈൽ കൈകാര്യം ചെയ്യുന്ന ക്ലയന്റ് ആയിരിക്കണമെന്നില്ല.

TLS 1.2, TLS 1.3 പട്ടികകൾ കൂടിക്കലരില്ല

TLS 1.2 സ്യൂട്ട് പേരുകൾ ഇങ്ങനെയാണ്: ECDHE-RSA-AES256-GCM-SHA384 കൂടാതെ അവ tls-cipher എന്നതിൽ പെടുന്നു, അത് OpenSSL സൈഫർ സ്ട്രിംഗ് സ്വീകരിക്കുന്നു. TLS 1.3 സ്യൂട്ടുകളുടെ പേര് ഇങ്ങനെയാണ്: TLS_AES_256_GCM_SHA384 കൂടാതെ അവ tls-ciphersuites എന്നതിൽ പെടുന്നു; 1.2 സ്ട്രിംഗിൽ ഒന്ന് ചേർത്താൽ 1.3 പട്ടിക ക്രമീകരിക്കപ്പെടുന്നില്ല, ഒരിക്കലും ഒത്തുനോക്കാതെ പാർസർ ടെക്സ്റ്റ് സ്വീകരിച്ചേക്കാം. ഒരു പതിപ്പിന് ശരിയായ ഫിൽട്ടർ മറ്റതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. ഏത് പട്ടിക ഏത് പതിപ്പിനാണെന്ന് എഴുതിവെക്കുക.

openvpn --show-tls പ്രാദേശിക ബിൽഡ് എന്ത് പിന്തുണയ്ക്കുന്നു എന്ന് പ്രിന്റ് ചെയ്യുന്നു, അത് ഒരു പട്ടികയാണ്, വാഗ്ദാനമല്ല: ദൂരെയുള്ള വശം ആ സ്യൂട്ടുകൾ അനുവദിച്ചേക്കില്ല, സജീവ പ്രൊഫൈൽ അവ പ്രവർത്തനക്ഷമമാക്കിയേക്കില്ല. സ്യൂട്ട് നൽകാൻ കഴിയാത്ത ബിൽഡിനെ ഒഴിവാക്കാൻ ഇത് ഉപയോഗിക്കുക, പിന്നീട് ക്രമീകരിച്ച പട്ടികകൾ താരതമ്യം ചെയ്യുക.

പുതിയ കണക്ഷനിൽ ചർച്ച തെളിയിക്കുക

വിജയകരമായ ഹാൻഡ്ഷേക്ക് മാത്രമാണ് കണക്കിൽ എടുക്കുന്ന തെളിവ്, അത് യഥാർത്ഥ ക്ലയന്റിൽ നിന്ന് യഥാർത്ഥ പ്രൊഫൈലിനൊപ്പം വരണം. സെർവറിന്റെ വിശദാംശം കൂട്ടുക, ഒരിക്കൽ കണക്ട് ചെയ്യുക, ആദ്യം നൽകിയ മൂല്യം വിജയിച്ചു എന്ന് കരുതാതെ ലോഗിൽ നിന്ന് ചർച്ച ചെയ്ത പ്രോട്ടോക്കോൾ പതിപ്പും സ്യൂട്ടും വായിക്കുക. പിന്നീട് ടണലിലൂടെയുള്ള ട്രാഫിക്കോടെ ഡാറ്റ ചാനൽ വെവ്വേറെ സ്ഥിരീകരിക്കുക, കാരണം പ്രവർത്തിക്കുന്ന ഹാൻഡ്ഷേക്കും പരാജയപ്പെടുന്ന ഡാറ്റ ചാനലും വ്യത്യസ്ത അറ്റകുറ്റപ്പണികളാണ്. ഏതെങ്കിലും കോൺഫിഗറേഷൻ മാറ്റത്തിന് ശേഷം ആവർത്തിക്കുക, കാരണം പഴയ ക്ലയന്റ് പ്രൊഫൈൽ സാധാരണ തെറ്റായ നെഗറ്റീവ് ഫലമാണ്.

അംഗീകരിച്ച പൊതു കോൺഫിഗറേഷൻ ഇല്ലെങ്കിൽ, ഉത്തരം അപ്ഗ്രേഡോ കുടിയേറ്റ പദ്ധതിയോ ആണ്, ദുർബലമാക്കിയ നയമല്ല. tls-version-min കുറയ്ക്കുക, പരിശോധന ഓഫാക്കുക അല്ലെങ്കിൽ എല്ലാ പഴയ സ്യൂട്ടുകളും പ്രവർത്തനക്ഷമമാക്കുക എന്നത്, അത് സൃഷ്ടിച്ച സുരക്ഷാ ആവശ്യകത നിറവേറ്റാതെ നിരസിക്കലിനെ നീക്കം ചെയ്യുന്നു.

മാറ്റ ടിക്കറ്റിൽ ചർച്ച ചെയ്ത പതിപ്പ്, സ്യൂട്ട്, ഡാറ്റ സൈഫർ എന്നിവ രേഖപ്പെടുത്തുക. അടുത്ത തവണ TLS പിശക് നേരിടുന്നയാൾ ഫോറം പോസ്റ്റിൽ കണ്ട സൈഫർ സ്ട്രിംഗിൽ നിന്നല്ല, ആ രേഖയിൽ നിന്ന് തുടങ്ങും.