Aġent wieħed antik iġiegħel TLS 1.0: illimita l-eċċezzjoni, mhux il-host

Jitfaċċa apparat antik wieħed, ma jirnexxilux jgħaqqad, u l-aktar tiswija li tidher malajr hija li tiddgħajjef il-host kollu sakemm tirnexxi l-konnessjoni. Dak l-iskambju ma jidhirx fil-mument u jibqa' għal dejjem fil-prattika, għax ħadd ma jneħħi limitu li fl-aħħar jaħdem. Żewġ ħsarat differenti ħafna joħolqu din il-pressjoni, u waħda biss minnhom hi dwar iċ-ċifraturi. Iġbor il-ħsara l-ewwel, imbagħad poġġi l-eċċezzjoni fejn ma tistax tinxtered.

Aqsam il-falliment fi tnejn qabel tbiddel direttiva

Linja fil-log tas-server dwar l-ebda ċifratur komuni, jew dwar verżjoni tal-protokoll mhux appoġġjata, tiġi mill-kanal ta' kontroll: iż-żewġ naħat ma setgħux jaqblu kif jipproteġu n-negozjar innifsu. Linja fil-klijent li tgħid li l-ebda metodu ta' verifika taċ-ċertifikat tas-server mhu attivat tiġi minn post kompletament ieħor, għax dak il-klijent mhu qed jiċċekkja xejn min wieġeb. Li tbiddel iċ-ċifratur tad-dejta ma jagħmel xejn għat-tieni każ, u li żżid verifika tar-rwol ma tagħmel xejn għall-ewwel wieħed.

Ħu l-ewwel linja li tfalli minn kull naħa u mhux l-aħħar linja qabel l-iskonnessjoni, għax l-aħħar waħda normalment hija konsegwenza. Imbagħad stabbilixxi liema fajl il-klijent fetaħ tassew: profil importat spiss jeżisti darbtejn b'ismijiet differenti, u li teditja l-kopja li ħadd ma jaqra tipproduċi nuqqas ta' bidla konvinċenti. Proċess li qed jaħdem iżomm is-settings li beda bihom, għalhekk fajl salvata mhix fajl mgħobbija. Il-kmandi hawn taħt juru n-negozjar tal-klijent ħdejn il-ħarsa tas-server fuq l-istess attentat.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

It-tieni listener huwa l-post onest għal limitu aktar dgħajjef

Meta l-apparat jieqaf fuq TLS 1.0 b'kanal tad-dejta qabel 2.5, is-server irid joffri limitu aktar baxx għall-kanal ta' kontroll u ċifratur tad-dejta li l-klijent antik jagħraf. Id-direttiva tal-fallback teżisti eżattament għal dak l-aġent, filwaqt li l-lista taċ-ċifraturi żżomm il-klijenti moderni fuq suites moderni. Iż-żewġ direttivi jappartjenu għal-listener u mhux għal utent jew konnessjoni, u l-ebda għażla għal kull klijent ma tnaqqishom wara. Huwa għalhekk li apparat antik wieħed fuq il-port prinċipali huwa deċiżjoni dwar kull aġent li jaqsam dak il-port.

Fejn il-pjattaforma tippermetti, ħaddem il-listener antik bħala istanza tiegħu fuq port separat, ippermetti dak il-port biss mill-indirizz tal-apparat, u ħalli s-servizz prinċipali kwiet. Ikteb għaliex jeżisti t-tieni listener, fil-fajl li jġorr il-konfigurazzjoni tiegħu, għax inkella tindif futur jaqrah bħala fdal. Id-diviżjoni tiswa biss jekk il-limitu aktar dgħajjef jispiċċa fejn jispiċċa l-apparat.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

X'ikisser tassew ċertifikat antik tal-fornitur

L-iżball tal-verifika huwa rabta tar-rwol nieqsa: mingħajrha l-klijent jaċċetta kwalunkwe ċertifikat li jgħaqqad ma' CA fdati, sew jekk dak iċ-ċertifikat inħareġ għal server u sew jekk le. Irbot iċ-ċertifikat mar-rwol tas-server l-ewwel, u ttratta r-rabta bħala rekwiżit mhux bħala pum għall-aġġustament. Huma biss profili li għadhom ifallu wara dak il-pass li għandhom problema vera taċ-ċertifikat.

Ċertifikat antik tal-fornitur li d-daqs tal-muftieħ jew l-algoritmu tal-firma tiegħu m'għadux jissodisfa l-politika default ta' OpenSSL huwa l-każ għal bidla limitata tal-livell ta' sigurtà fuq il-kanal ta' kontroll. Li tniżżel il-livell hemmhekk ma jitfissirx il-verifika, u qatt ma għandu jiġi flimkien ma' CA vojta, verifika dizattivata jew hostname mhux iċċekkjat. Żomm il-linja ġewwa dak il-profil wieħed li jeħtieġha; li tesporta konfigurazzjoni OpenSSL rilassata globalment tagħti l-istess rilassament lil kull programm fuq il-magna.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Aqra l-valuri nnegozjati, mhux il-banner

Fil-verbosity 4 iż-żewġt itruf jipprintjaw il-verżjoni TLS u ċ-ċifratur tal-kanal ta' kontroll li qablu fuqhom, u ċ-ċifratur tad-dejta tas-sessjoni. Aqra dawk il-linji u mhux il-banner tal-inizjalizzazzjoni, li jirrapporta suċċess u mhux it-termini tiegħu. Imbagħad erġa' għaqqad klijent modern mal-listener prinċipali u kkonferma li għadu jinżel fuq suite moderna, għax eċċezzjoni li nixxet fil-konfigurazzjoni maqsuma tidher l-ewwel hawn. Il-valuri li tikkopja jsiru l-bażi għar-reviżjoni li jmiss.

Ittestja l-apparat antik waħdu: għandu jgħaqqad, u għandu jkun l-unika sessjoni fil-logs li turi l-parametri aktar dgħajfa. Jekk it-tieni aġent ukoll jinnegozja s-suite antika, l-eċċezzjoni hija usa' milli maħsub u d-diviżjoni tal-listener ma seħħetx tassew. Irreġistra ż-żewġ osservazzjonijiet u mhux il-konklużjoni biss.

Kull eċċezzjoni teħtieġ sid u data

Eċċezzjoni mingħajr kundizzjoni tat-tneħħija ssir bil-kwiet il-default, għalhekk poġġi l-apparat, is-sid, ir-raġuni u d-data li fiha titlaq ħdejn il-konfigurazzjoni li tiġġustifikaha. Mingħajr dik il-linja l-limitu aktar dgħajjef jgħix aktar mill-ħardwer li kien jeħtieġu.

Li tissostitwixxi l-klijent, jew li titlob profil kurrenti mingħand il-fornitur, huwa r-riżultat li għandu jintlaħaq; l-eċċezzjoni hija dewmien u mhux disinn. Meta l-apparat jirtira, neħħi l-listener u l-profil fl-istess bidla biex ebda nofs ma jibqa' għaddej. Xejn minn dan ma jagħmel il-parametri antiki siguri, huwa biss iżomm il-limitu ta' apparat wieħed milli jsir il-bażi ta' kulħadd.