SECLEVEL=0 ifejjaq is-sintomu, mhux iċ-ċertifikat

Konnessjoni OpenVPN tfalli, xi ħadd isib korrezzjoni ta' linja waħda li żżid SECLEVEL=0, u l-mina titla'. Dak li nbidel ma kienx iċ-ċertifikat u lanqas is-suite taċ-ċifrar; ċċaqlaq limitu ta' aċċettazzjoni mal-librerija kollha, u kull ma tagħmel il-proċess wara jiret il-limitu l-ġdid. Dan jistħoqqlu jiftiehem qabel ma l-istess linja tiġi kkupjata f'kull profil fl-ambjent.

Stabbilixxi liema librerija u liema politika huma fis-seħħ

SECLEVEL huwa kunċett ta' OpenSSL, allura l-ewwel mistoqsija hija jekk il-build tiegħek jużax OpenSSL xejn. OpenVPN jista' jiġi marbut ma' aktar minn librerija kriptografika waħda, u setting li japplika għal waħda minnhom huwa bla sens għall-oħrajn. Staqsi lill-binarju b'xiex inbena, imbagħad staqsi lill-librerija liema verżjoni u konfigurazzjoni għabbiet:

openvpn --version | head -3
openssl version -a

Aqra l-output tal-verżjoni b'attenzjoni, għax id-distribuzzjonijiet iġibu patċijiet fil-valuri default. Xi wħud jibgħatu konfigurazzjoni tas-sistema li tgħolli l-livell minimu 'l fuq mid-default ta' upstream, u għalhekk l-istess profil iġib ruħu differenti fuq żewġ magni b'pakketti OpenVPN identiċi. Il-politika effettiva hija dik li għabbiet il-proċess li qed jaħdem, mhux dik fil-manwal ta' upstream.

Imbagħad ifred iż-żewġ saffi li n-nies jgħaqqdu flimkien. OpenVPN għandu l-kontrolli TLS tiegħu stess, inkluż setting tal-profil taċ-ċertifikat u listi espliċiti taċ-ċifrar, u dawn jinsabu 'l fuq minn kull ma timponi l-librerija. It-tniżżil tal-livell tal-librerija ma jbiddilx liema ċifrari jelenka l-konfigurazzjoni OpenVPN tiegħek, u d-djuq tal-lista OpenVPN ma jgħollix il-limitu tal-librerija. Li tkun taf liema saff ċaħadk huwa dak li jżomm il-korrezzjoni milli tibqa' ipoteżi.

Ifred it-tliet affarijiet li jistgħu jiġu miċħuda

L-ewwel kandidat huwa materjal ta' identità: ċertifikat li ċ-ċavetta tiegħu hija żgħira wisq jew li l-algoritmu tal-firma tiegħu l-politika ma tibqax taċċettah. It-tieni huwa parametru tal-iskambju taċ-ċwievet, bħal grupp li l-politika tqisu dgħajjef wisq. It-tielet hija suite taċ-ċifrar li l-politika teskludi. It-tlieta jistgħu jikkawżaw falliment tal-handshake, u huma biss it-test tal-iżball u l-fażi tan-negozjar li jiddistingwuhom.

L-ebda minn dawn it-tlieta mhu ċ-ċifrar tal-kanal tad-data. OpenVPN jinnegozja l-encryption tal-mina tiegħu separatament mill-handshake TLS, allura konnessjoni li tirnexxi wara bidla fil-livell ta' sigurtà ma tgħid xejn dwar liema ċifrar jipproteġi d-data tiegħek. Jekk il-mistoqsija li qed tistaqsi tassew hija dwar il-kunfidenzjalità tad-data, qed tħares lejn il-pum kompletament ħażin.

It-tniżżil tal-livell iwessa' l-aċċettazzjoni għat-tliet inputs kollha f'daqqa. Dan huwa l-parti li n-nies jitilfu: il-korrezzjoni li tammetti ċertifikat qadim tammetti wkoll grupp dgħajjef u suite li forsi ma kellokx il-ħsieb tippermetti. Żball wieħed wassal għall-bidla, u l-bidla hija usa' mill-iżball. Din l-asimetrija hija r-raġuni għaliex eċċezzjoni limitata hija aħjar minn default għall-ambjent kollu.

Ibdel l-input, mhux il-limitu

Ippreserva l-iżball eżatt qabel ma tmiss il-konfigurazzjoni, inkluża l-fażi li rrappurtah u l-oġġett li semmieh. Problema taċ-ċertifikat tissolva billi ċ-ċertifikat jiġi sostitwit b'xi ħaġa li l-politika attwali taċċetta, li normalment tfisser li terġa' tinħareġ mill-awtorità minflok ma terġa' tiġi installata l-istess fajl.

Jekk l-input miċħud jappartjeni għal peer li ma tikkontrollax, id-diskussjoni hija mal-proprjetarju tiegħu dwar materjal sostitut appoġġjat. It-tniżżil tal-limitu tiegħek stess biex takkomoda sistema li ħadd ma jżommha jċaqlaq l-ispiża minnhom għal kulħadd li jqabbad warajhom.

Fejn is-server jinfurza l-politika, iċċekkja jekk setting fil-livell OpenVPN huwiex il-kawża vera qabel ma takkuża l-librerija. Profil taċ-ċertifikat li jitlob klassi iktar stretta minn dik li ċ-ċertifikat implimentat jista' jissodisfa se jfalli tkun xi tkun il-livell ta' sigurtà, u t-tneħħija ta' dak il-profil hija bidla iżjed dejqa milli tiddiżattiva l-kontrolli tal-librerija.

Jekk trid tniżżlu, illimitalu u rreġistrah

Kultant eċċezzjoni ta' kompatibilità approvata hija t-tweġiba t-tajba, speċjalment għal peer antik b'pjan ta' rtir datat. Illimitalha għas-servizz li jeħtieġha minflok għall-host kollu: fajl ta' konfigurazzjoni għal kull servizz jew konfigurazzjoni OpenSSL dedikata għandha raġġ ta' impatt iżgħar minn esportazzjoni fil-profil globali.

Ikteb erba' affarijiet mal-eċċezzjoni: is-setting eżatt, il-proprjetarju li approvaha, il-klijenti affettwati, u l-kundizzjoni li biha titneħħa. Eċċezzjoni mingħajr kundizzjoni ta' rtir hija dgħajjif permanenti b'ġustifikazzjoni temporanja mehmuża.

Ir-rollback għandu jkun pass wieħed li diġà ttestjajt. Żomm il-konfigurazzjoni preċedenti, applika l-bidla, ikkonferma li s-servizz jibda, u kun af eżattament liema fajl tirrestawra jekk il-konnessjoni li jmiss iġġib ruħha differenti milli mistenni.

Ivverifika l-identità u l-protezzjoni wara

Konnessjoni li tirnexxi biss tipprova li l-kundizzjonijiet riveduti ammettewha. Ikkonferma li l-verifika tal-isem tal-host u tal-peer għadha tagħmel xogħolha, li ċ-ċertifikat użat huwa dak li kellek il-ħsieb timplimenta, u li l-kanal tad-data nnegozjat jaqbel mal-politika li taħseb li għandek.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Ir-referenza tal-livelli ta' sigurtà ta' OpenSSL tgħid b'mod espliċitu li l-qafas japplika limiti fuq ċwievet, firem, gruppi u suites flimkien, u li livell żero jippermetti kull ma jiċċekkja l-callback. Dan huwa l-ambitu ta' dak li biddilt, u din hija s-sentenza li tiġi kkwotata meta xi ħadd jistaqsi jekk il-korrezzjoni kinitx dejqa.

Il-konsenja li tgħaddi minn awditu tgħid liema politika ċaħdet liema input, x'inbidel, u x'jibqa' aċċettat bħala riżultat. „Jaħdem b'SECLEVEL=0“ hija osservazzjoni dwar konnessjoni waħda, mhux valutazzjoni tas-sigurtà tal-implimentazzjoni.