iOS таны strongSwan туннелийг татгалзлаа: IKE саналыг харьцуулна уу

Ажиллаж буй хаяг, хүчинтэй сертификат байсан ч хэлэлцээрт хожигдож болно. ike, esp мөрүүдийг утас хүлээн авч буйтай харьцуул.

Сертификат эсвэл хаягт өнгөрсөн жил strongSwan-д холбогдож байсан iPhone энэ жил яагаад бүтэлгүйтэж байгааг юу ч тайлбарлахгүй. Хаяг, урьдчилан хуваалцсан түлхүүр эсвэл клиентийн таних тэмдэгт юу ч өөрчлөгдөх шаардлагагүй. Хөдөлсөн зүйл бол утасны суурилагдсан клиент хэлэлцэхэд бэлэн байгаа хувиргалтуудын жагсаалт бөгөөд энэ жагсаалт серверийн жагсаалттай давхцахаа болиход хэн нэгний таних тэмдгийг шалгахаас өмнө солилцоо дуусдаг.

Шийдвэрлэх лог мөр

Тухайн холболтын логийг нэмэгдүүлж, үр дүнг шийддэг хоёр бичлэгийг ол: утас юу санал болгосон, сервер юу сонгосон. Хэрэв лог сонгогдсон саналгүйгээр дуусч, юу ч тохироогүй гэж мэдээлбэл, нэвтрүүлэлт огт оролдоогүй. Шинэ сертификат, шинэ нууц үг тэр цэг дээр юу ч өөрчлөхгүй, учир нь хоёулаа дараагийн үе шатанд зарцуулагддаг. Аль нь ч таних тэмдгийг шалгахаас өмнө шийдэгдсэн үр дүнд нөлөөлж чадахгүй.

Ямар нэг зүйлийг засахаас өмнө бүтэлгүйтлийн хоёр хэлбэрийг ялга. Хувиргалтыг засах нь татгалзсан итгэмжлэлийг аварч чадахгүй, итгэмжлэлийг засах нь татгалзсан хувиргалтыг аварч чадахгүй. Сонгогдсон саналыг нэрлэсэн лог бичлэг таныг хоёрын алин дээр байгааг хэлнэ. Тэр бичлэггүй бол та таамаглаж байна.

Сонгогдсон мөр саналыг найрсаг шошгоор биш, хувиргалтын багцаар нэрлэнэ. Шифрлэлт, бүрэн бүтэн байдал, бүлгийн талбаруудыг харьцуул тэр мөрөнд утаснаас илгээсэн жагсаалттай, учир нь аль ч нэг талбарт зөрүү гарах нь хожигдоход хангалттай.

Утас дээр юу өөрчлөгдсөн бэ

Нэг iOS хувилбар клиентийн ашиглахыг зөвшөөрдөг алгоритмуудыг багасгасан. Сул бүрэн бүтэн байдлын хэш, жижиг Diffie-Hellman бүлэг, хуучин сонголтыг эхэнд жагсаасан саналууд цаашид хүлээн зөвшөөрөгдөхгүй болсон.

Энд урт жагсаалт илүү аюулгүй биш. Сонголт нь утасны хүлээн авсан багц болон түүний өөрийн давуу эрхийн дарааллыг дагадаг тул өргөн каталог зарласан сервер ч орчин үеийн бичлэгүүд сонгогдохгүй бол хэлэлцээрт хожигдож болно. Орчин үеийн бичлэгүүд тэргүүнд байх богино жагсаалтыг илүүд үз. Хуучин сонголтоор эхэлсэн урт жагсаалт таны зайлсхийхийг хүсч буй бүтэлгүйтлийг яг урина. Хүлээн авсан багц нь клиент шинэчлэгдэх бүрт хөдөлдөг гадаад хязгаарлалт тул өчигдөр ажилласан тохиргоо нь өчигдрийн тухай нотолгоо юм.

Одоо ч тохиролцдог нэг хос

Одоогийн утаснуудад нэг орчин үеийн хослол хангалттай. Тохиролцдог нэг хос ингэж харагдана:

ike=aes256-sha2_256-modp2048
esp=aes256-sha2_256

ike мөр нь түлхүүр солилцоо явагдах үед хэрэглэгдэх шифрлэлт, бүрэн бүтэн байдал, Diffie-Hellman бүлгийг агуулна. esp мөр зөвхөн өгөгдлийн сувгийг хамарна, учир нь бүлэг түүнийг хэрэгжихээс өмнө тогтоогдсон. Холболтыг дахин ачаал эсвэл демоноо дахин эхлүүл, дараа нь утсыг дахин холбо. Тэр бүлгийн утгыг таны үйлчилдэг бүх клиент хүлээн авч байгаа тохиолдолд л үлдээ, нэг хуучин түнш илүү их хэрэгтэй гэж бүгдэд саналыг өргөтгөж болохгүй.

Засах гурван газар, нэг нь ихэвчлэн хаалттай

  • Түнш бүрт нэг орчин үеийн санал. Бүх клиент одоогийн утас, десктоп бол зөв. Хуучин хувиргалтыг тойрч хэлэлцэхийн оронд устгана.
  • Apple клиентүүдэд зориулсан хоёр дахь холболтын тодорхойлолт. Нэг хуучин түншийг амьд байлгаж, утасанд түүний хүлээн авах саналыг өгнө. Энэ нь дахин нэг холболтын блок үнэтэй бөгөөд үл хамаарах зүйлийг харагдахуйц болгоно.
  • Клиентийг солих. Танд ховор нээлттэй: удирдлагын систем эсвэл апп профайлыг хүргэх үед хүрэх саналын редактор байхгүй, суурилагдсан клиент ч ийм зүйлийг ил гаргахгүй.

Таны хяналтаас гадуур төхөөрөмжийг шинэчлэх боломжгүй бол хоёр дахь хувилбарыг сонго. Хуучин түншийг тэтгэвэрт гаргаж, нэг бодлого барихыг хүсвэл эхнийхийг сонго.

Аль ч тохиолдолд сонголт тохиргоонд харагдана, энэ л гол нь. Хуучин хувиргалт хүртэл доош хэлэлцдэг чимээгүй буцалт нь тодорхой блокоос дор, учир нь ямар ч хяналт түүнийг хэзээ ч илрүүлэхгүй.

Үүнийг нотол, дараа нь бүртгэ

Дахин холбогдож, сервер дээр гурван тусдаа баримтыг шалга: санал сонгогдсон, холболт тогтоогдсон харагдаж байна, клиент хаяг авсан. Алсын хаяггүй тогтоогдсон гар барилт нь пул эсвэл траффикийн селекторуудыг заадаг бөгөөд тэр нь тусдаа өөрчлөлтөд хамаарна. Хоёулаагүй хамт авч үзвэл шийдэгдсэн хэлэлцээр шийдэгдээгүй мэт харагдана.

Хүлээн авсан хувиргалтын багц, хэзээ өөрчилсөн, ямар клиентийн бүтцийг шалгаснаа бичиж үлдээ. Дараагийн шинэчлэл шаардлагыг дахин хөдөлгөж болох бөгөөд ажилласан утгууд шинэ утгуудын хажууд хамгийн түрүүнд хэрэгтэй зүйл юм.

Холбоотой нийтлэлүүд