OpenSSL 3-ын дараах OpenVPN түлхүүрийн асуулт: нийлүүлэгчийг шалгана уу

Хэн ч профайлд хүрээгүй ч мөнөөх клиент одоо ажиллах бүрт хувийн түлхүүрийн нууц хэллэг шаарддаг болсон. Хэрэв энэ өөрчлөлт дистрибутивыг шинэчилснээс хойш хэдхэн хоногийн дотор гарсан бол шалтгаан нь шинэчлэл байх магадлалтай: OpenSSL 3 алгоритмын дэмжлэгээ дахин зохион байгуулсан тул хуучин сан асуудалгүй уншиж байсан түлхүүр нэг ч байт өөрчлөгдөхгүйгээр уншигдахгүй болж болно. Шалгалтуудыг дарааллаар нь хийгээрэй, учир нь зөвхөн асуултыг харахад тэдгээрийн хоёр нь адилхан харагдана.

Эхний асуулт нь түлхүүр шифрлэгдсэн эсэх, хоёр дахь нь энэ бүтээц үүнийг тайлж чадах эсэх юм. Тохиргооны өөрчлөлт нь хоёр хариулт мэдэгдсэний дараа л утга учиртай.

Түлхүүр шифрлэгдсэн эсэхийг шалгана уу

Файлын эхний мөрийг уншиж, дараа нь санд үүнийг задлан шинжлэх боломж олгоно уу, учир нь файлын нэр юу ч нотлохгүй. Шошготой PEM блок ENCRYPTED PRIVATE KEY нь шифрлэгдсэн PKCS#8 бөгөөд хуучин RSA PRIVATE KEY блок Proc-Type: 4,ENCRYPTED агуулсан нь уламжлалт хэлбэр бөгөөд хоёулаа нууц хэллэг хүлээж байна. Шифрлээгүй PRIVATE KEY блок үүнийг огт шаардах ёсгүй. Задлан шинжилгээг файлын эзэн бүртгэлээр ажиллуулна уу, учир нь зөвшөөрлийн асуудал өөр бөгөөд хамаагүй бага сонирхолтой алдаа өгдөг.

Хэрэв түлхүүр үнэхээр шифрлэгдээгүй бөгөөд клиент асуусаар байвал криптограф руу харахаа болиод, профайл үйлчилгээний уншиж чадах askpass файлыг зааж байгаа эсэхийг шалгана уу.

Энэ бүтээц үүнийг тайлж чадах эсэхийг шалгана уу

OpenSSL 3 алгоритмын дэмжлэгээ нийлүүлэгчдэд хувааж, хуучин шифрүүдийн багц одоо анхдагч нийлүүлэгчид биш legacy нийлүүлэгчид байна. Тэдгээрийн аль нэгээр шифрлэгдсэн түлхүүр хүчинтэй хэвээр байх боловч legacy нийлүүлэгчгүй ачаалагдсан сан үүнийг тайлж чадахгүй. Зарим клиентэд энэ нь давтагдах асуулт хэлбэрээр, заримд нь нууц хэллэгийн дараа шууд хатуу алдаа хэлбэрээр илэрдэг.

Ижил түлхүүрийг ижил бинараар хоёр удаа задлан шинжилнэ үү: эхлээд зөвхөн анхдагч нийлүүлэгчтэй, дараа нь командын мөрөнд legacy болон анхдагчийг хоёуланг нь шаардаж. Хэрэв хоёр дахь оролдлого эхнийх нь бүтэлгүйтсэн газар амжилттай болвол оношилгоо нь шинэчлэлийн цаг хугацаанд биш, нотолгоонд тулгуурлана. Хоёулаа адилхан бүтэлгүйтвэл нууц хэллэг буруу эсвэл файл гэмтсэн байна, ямар ч нийлүүлэгчийн тохиргоо аль нэгийг нь засахгүй.

Боломжит хамгийн нарийн засварыг шалгана уу

Системийн өргөн өөрчлөлтөөс илүүтэй клиентэд хязгаарлагдсан өөрчлөлтийг илүүд үзээрэй. Зарим 2.6 бүтээц тухайн демоны процессын хоёр нийлүүлэгчийг ачаалдаг профайлын сонголтыг хүлээн авдаг тул түүнд найдахын өмнө өөрийн нарийн хувилбарын гарын авлагаас зааврыг баталгаажуулна уу; харин системийн openssl.cnf файлыг засварлах нь хост дээрх бүх OpenSSL програмыг хөнддөг. Нарийн тохиргоо нь түлхүүрийг дахин кодлосны дараа буцаахад ч хамаагүй хялбар.

Асуулт арилахын тулд нууц хэллэгийг бүү устга. Энэ нь хамгаалагдсан итгэмжлэлийг энгийн текст файл болгож, түүний гарч буй нөөц хуулбар, хуулбар, дэмжлэгийн багц бүрийн эрсдэлийг чимээгүй өөрчилдөг. Чухал ялгаа нь өөрийн нууц хэллэг шаардлагатай түлхүүр ба энэ сан тайлж чадахгүй түлхүүрийн хооронд юм.

Үйлчилгээний орчныг шалгаад дахин кодлоно уу

Түлхүүрийг нээх боломжтой болсны дараа үүнийг орчин үеийн алгоритмаар дахин шифрлэнэ үү ингэснээр хамаарал арилна. Шинэ файлыг орчин үеийн шифрээр бичиж, задлан шинжилж байгаа эсэхийг шалгаж, профайлыг шинэчилж, хуучин хуулбарыг холболт амжилттай болтол л хадгал. Нууц хэллэгийг хэзээ ч командын мөрөнд бүү тавь, тэнд ямар ч локал хэрэглэгч процессийн жагсаалтаас уншиж чадна. Хуучин файлыг шинэ файл үйлчилгээний бүртгэлээс холбогдсоны дараа л устга, зөвхөн таны shell-ээс биш.

Дараа нь клиентийг үнэхээр ажиллуулж буй нэгжийг шалгана уу. Таны shell-д уншигдах түлхүүр өөр бүртгэлийн дор эсвэл хатууруулсан гэрийн лавлах тохиргоотой ажиллаж буй үйлчилгээнд уншигдахгүй байж болно.

Нийлүүлэгчийн тохиргоог профайлын хажууд тэмдэглэж, хоёр командын тестийг хамт хадгал. Хожим шинэчлэл legacy нийлүүлэгчийг хасвал тэр тестийг дахин ажиллуулж, түлхүүрт энэ нь одоо ч хэрэгтэй юу эсвэл профайлыг энэ түр зуурын шийдлээс гаргаж болох эсэхийг хар.

Асуулт бол дор хаяж гурван шалтгаантай шинж тэмдэг бөгөөд тэдгээрийн зөвхөн нэг нь дутуу нууц хэллэг юм.