Talba għaċ-ċavetta OpenVPN wara OpenSSL 3: iċċekkja l-fornitur

Ħadd ma mess il-profil, iżda l-istess klijent issa jitlob frażi tas-sigurtà għaċ-ċavetta privata kull darba li jibda. Meta din il-bidla sseħħ ftit jiem wara aġġornament tad-distribuzzjoni, l-aġġornament huwa l-kawża probabbli: OpenSSL 3 organizza mill-ġdid l-appoġġ tiegħu għall-algoritmi, u ċavetta li l-librerija l-qadima kienet taqra mingħajr problema tista’ ssir ma tinqarax mingħajr ma jinbidel lanqas byte wieħed. Agħmel il-verifiki fl-ordni, għax tnejn minnhom jidhru identiċi jekk tħares biss lejn it-talba.

L-ewwel domanda hija jekk iċ-ċavetta hijiex kriptata, u t-tieni hija jekk dan il-build jistax jiddekriptaha. Il-bidliet fil-konfigurazzjoni jagħmlu sens biss wara li jkunu magħrufa t-tnejn tweġibiet.

Iċċekkja jekk iċ-ċavetta hijiex kriptata

Aqra l-ewwel linja tal-fajl u mbagħad ħalli l-librerija tipparsjah, għax l-isem tal-fajl ma jipprova xejn. Blokka PEM bit-tikketta ENCRYPTED PRIVATE KEY hija PKCS#8 kriptata, u blokka RSA PRIVATE KEY eqdem li ġġorr Proc-Type: 4,ENCRYPTED hija l-forma tradizzjonali, u t-tnejn jistennew frażi tas-sigurtà. Blokka PRIVATE KEY mhux kriptata m’għandhiex titlob waħda xejn. Mexxi l-parsing bħala l-kont li jippossjedi l-fajl, għax problema ta’ permessi tagħti żball differenti u ferm inqas interessanti.

Jekk iċ-ċavetta tassew mhix kriptata u l-klijent xorta jitlob, waqaf milli tħares lejn il-kriptografija u ċċekkja jekk il-profil isemmix fajl askpass li s-servizz għadu jista’ jaqra.

Iċċekkja jekk dan il-build jistax jiddekriptaha

OpenSSL 3 qasam l-appoġġ tiegħu għall-algoritmi fi fornituri, u sett ta’ cifri eqdem issa jinsab fil-fornitur legacy minflok f’dak awtomatiku. Ċavetta kriptata b’waħda minn dawk iċ-cifri tibqa’ valida, iżda librerija mgħobbija mingħajr il-fornitur legacy ma tistax tiddekodifikaha. F’xi klijenti dan jidher bħala talba li tirrepeti ruħha, f’oħrajn bħala falliment iebes eżatt wara l-frażi tas-sigurtà.

Ipparsja l-istess ċavetta darbtejn bl-istess binarju: l-ewwel biss bil-fornitur awtomatiku, imbagħad b’legacy u awtomatiku t-tnejn mitluba fuq il-linja tal-kmand. Jekk it-tieni attentat jirnexxi fejn l-ewwel falla, id-dijanjosi tistrieħ fuq l-evidenza u mhux fuq il-ħin ta’ aġġornament. Jekk it-tnejn ifallu bl-istess mod, il-frażi tas-sigurtà hija ħażina jew il-fajl huwa ħsarat, u l-ebda setting tal-fornitur ma jsewwi lil waħda minnhom.

Iċċekkja l-aktar soluzzjoni dojqa disponibbli

Ippreferi bidla limitata għall-klijent minflok waħda għas-sistema kollha. Xi builds 2.6 jaċċettaw għażla fil-profil li tgħabbi ż-żewġ fornituri għall-proċess ta’ dak id-daemon, għalhekk ikkonferma d-direttiva fil-manwal għall-verżjoni eżatta tiegħek qabel ma tiddependi fuqha; l-editjar tal-openssl.cnf tas-sistema minflok jaffettwa kull programm OpenSSL fuq il-host. L-issettjar idjaq huwa wkoll ferm aktar faċli biex jitreġġa’ lura ladarba ċ-ċavetta tkun re-encoded.

Tħassarx il-frażi tas-sigurtà biex titlaq it-talba. Dan ibiddel kredenzjali protetta f’fajl ta’ test sempliċi u bil-kwiet ibiddel ir-riskju ta’ kull backup, kopja u bundle ta’ appoġġ li fih tidher. Id-differenza li timporta hija bejn ċavetta li teħtieġ il-frażi tagħha u ċavetta li din il-librerija ma tistax tiddekodifikaha.

Iċċekkja l-kuntest tas-servizz, imbagħad erġa’ kkodifika

Ladarba ċ-ċavetta tista’ tinfetaħ, erġa’ kripta bi algoritmu attwali biex id-dipendenza titlaq. Ikteb il-fajl il-ġdid b’cifra moderna, ivverifika li jiġi parsjat, aġġorna l-profil, u żomm il-kopja l-qadima biss sakemm konnessjoni tirnexxi. Qatt tpoġġix il-frażi tas-sigurtà fuq linja tal-kmand, fejn kwalunkwe utent lokali jista’ jaqrah mil-lista tal-proċessi. Neħħi l-fajl il-qadim biss wara li l-ġdid ikun ikkonnettja mill-kont tas-servizz, mhux biss mix-shell tiegħek.

Imbagħad iċċekkja l-unità li fil-fatt tmexxi l-klijent. Ċavetta li tinqara fis-shell tiegħek tista’ ma tinqarax għal servizz li jaħdem taħt kont ieħor jew b’issettjar imsaħħaħ tad-direttorju tad-dar.

Irreġistra l-issettjar tal-fornitur ħdejn il-profil u żomm l-ittestjar ta’ żewġ kmandi miegħu. Meta aġġornament aktar tard ineħħi l-fornitur legacy, erġa’ mexxi dak l-ittestjar biex tara jekk iċ-ċavetta għadhiex teħtieġu jew jekk il-profil jistax joħroġ mis-soluzzjoni temporanja.

Talba hija sintomu b’mill-inqas tliet kawżi, u waħda biss minnhom hija frażi tas-sigurtà neqsin.