OpenSSL дахь SHA1 хүртээлийн нэрс: хуучин жагсаалт юу гэсэн үг вэ

Хуучин хүртээлийн жагсаалтыг криптограф шийдвэрийн тэмдэглэл мэт уншдаг боловч тийм биш. SHA1, DSA-SHA1-old эсвэл RSA-SHA1-2 зэрэг нэрс хуучин OpenSSL хувилбаруудад зэрэгцэн байдаг нь сан холбогдох хэш механизмын эргэн тойронд хэд хэдэн орох цэгийг бүртгэсэнтэй холбоотой. Тэр жагсаалт дахь RSA эсвэл DSA шошго нь OpenVPN пакетэд юу хийсэн тухай юу ч хэлэхгүй. Таны уншиж буй зүйл бол сангийн бүртгэл, сессийн тэмдэглэл биш.

Аливаа дүгнэлт утга учиртай болохын өмнө гурван зүйлийг ялгах ёстой: бүртгэгдсэн нэр, түүний доорх хүртээлийн тооцоо, түүнийг хэрэглэх үйлдэл.

Бүртгэл бол интерфейс, бат бэхийн үнэлгээ биш

OpenSSL 1.0.2-д хүртээлийн бүртгэлийн хүснэгт нэрс, далд нэрс, хэрэгжүүлэлтүүдийг нэг файлд холбодог. Хуучин DSS1 тодорхойлолт нь хамгийн тодорхой тохиолдол: SHA-1-ийн гаралтын уртыг мэдээлж, SHA-1-ийн дуусгах процедурыг дууддаг боловч огт өөр алгоритмыг сануулсан нэрийг агуулдаг. Тиймээс бүртгэл дэх нэмэлт үсэг өөр хэш, урт гаралт эсвэл шинэ аюулгүй байдлын түвшинг илэрхийлэхгүй.

Мөн эх сурвалж хуучин дуудагчдад зориулж далд нэрсийн харилцааг хадгалдаг бөгөөд энэ нь жагсаалт яагаад дүүрэн харагддагийг тайлбарладаг. Энэ нь нийцлийн баримт бичиг бөгөөд одоогийн OpenSSL нийлүүлэгч ижил нэрсийг санал болгоно гэсэн амлалт биш.

Гарын үсгийн нэрс гарын үсэг үүсгэдэггүй

Гарын үсгийн хүрээ нь одоо байгаа дуудагчид компьютерлэгдэхээр хүртээлийг өөр алгоритмын интерфейстэй холбож болно. Жинхэнэ нийтийн түлхүүрийн гарын үсэгт түлхүүр болон түүнийг ашиглах гарын үсгийн алхам хоёулаа хэрэгтэй бөгөөд цэсэн дэх нэр аль нэгийг нь ч өгдөггүй. RSA өнгө аястай хүртээлийн бүртгэл бол дуудагчийн ашиглаж болох нэр бөгөөд VPN пакет бүр RSA гарын үсэг зүүсэн гэсэн баталгаа биш.

Энэ алхам дээр л хуучин бичвэрүүд ардын аман зохиол руу гулсдаг. Пакетууд хэрхэн баталгаажсаныг мэдэх шаардлагатай бол механизмыг сонгосон параметрийг олж, таны бодитоор ажиллуулж буй хувилбарт энэ юу хийдгийг уншина уу. Тэр хувилбартай хамт ирсэн гарын авлагын хуудас л таны өмнөх программтай тохирох цорын ганц тайлбар юм. Архивласан гарын авлагууд нь тэдгээрийг бичих үеийн хувилбарыг тодорхойлдог бөгөөд тэр нь хэд хэдэн нэрлэлтийн уламжлалаас хоцорч болно.

Нэрийг хэрэглэсэн параметрийг ол

OpenVPN 2.6-ийн баримтжуулсан пакет баталгаажуулалтын тохиолдолд auth HMAC-ийн ашигладаг хүртээлийг сонгодог бөгөөд энэ нь сертификатын гарын үсэг биш, түлхүүртэй мессеж баталгаажуулалтын бүтэц юм. TLS сертификатын гарын үсгийн алгоритм нь гар барилтын тусдаа шинж чанар.

AEAD өгөгдлийн шифртэй үед тусдаа auth тохиргоо өгөгдлийн сувагт хамаарахаа болих бөгөөд tls-auth-д гүйцэтгэх үүрэг нь тусдаа асуудал хэвээр байна. Тиймээс хүртээлийн жагсаалт одоогийн пакетуудыг аль хэш хамгаалж байсан, аль TLS багц хэлэлцэгдсэн эсвэл хамтрагчийн сертификат хэрхэн гарын үсэг зурсан болохыг хэлж чадахгүй. Зөвхөн үр дүнтэй тохиргоо болон хувилбар л үүнд хариулж чадна, зөвхөн таны өмнөх холболтын хувьд.

Бодитоор юу байгаагаа бичээрэй

OpenVPN хувилбар, холбогдсон крипто сан, профайл дахь яг параметрүүд, бодит холболтын үр дүнг бичээрэй. Энэ багц нь хүртээлийн цэсийн дэлгэцийн зураг хариулж чадахгүй асуултуудад хариулж, дараагийн шинэчлэлтийг даван туулдаг, учир нь сэтгэгдэл биш хувилбаруудыг нэрлэдэг.

Хамгийн гол нь, нэр нь илүү хүчтэй эсвэл илүү тодорхой сонсогддог гэж хуучин далд нэрийг бүү сонго. Бүх холболтод дэмжигдсэн бодлогыг сонгож, хуучин нэрсийг сан өмнө нь өөрийгөө хэрхэн танилцуулж байсны тэмдэглэл гэж үзээрэй.