OpenVPN-nøkkelførespurnad etter OpenSSL 3: sjekk leverandøren

Ingen har rørt profilen, likevel krev den same klienten no ein passfrase for den private nøkkelen kvar gong han startar. Når den endringa kjem innan få dagar etter ei oppgradering av distribusjonen, er oppgraderinga den sannsynlege årsaka: OpenSSL 3 omorganiserte algoritmestøtta si, og ein nøkkel som det gamle biblioteket las utan problem, kan bli uleseleg utan at ein einaste byte blir endra. Utfør kontrollane i rekkjefølgje, fordi to av dei ser identiske ut viss du berre ser på førespurnaden.

Det første spørsmålet er om nøkkelen er kryptert, og det andre er om denne byggjen kan dekryptere han. Konfigurasjonsendringar gir berre meining når begge svara er kjende.

Sjekk om nøkkelen er kryptert

Les den første lina i fila og la deretter biblioteket parse henne, fordi eit filnamn beviser ingenting. Ein PEM-blokk merkt ENCRYPTED PRIVATE KEY er kryptert PKCS#8, og ein eldre RSA PRIVATE KEY blokk som ber Proc-Type: 4,ENCRYPTED er den tradisjonelle forma, og begge ventar ein passfrase. Ein ukryptert PRIVATE KEY blokk bør ikkje spørje etter ein i det heile. Køyr parseringa som kontoen som eig fila, fordi eit løyveproblem gir ein annan og langt mindre interessant feil.

Viss nøkkelen verkeleg er ukryptert og klienten framleis spør, slutt å sjå på kryptografi og sjekk om profilen nemner ei askpass-fil som tenesta framleis kan lese.

Sjekk om denne byggjen kan dekryptere han

OpenSSL 3 delte algoritmestøtta si opp i leverandørar, og eit sett eldre chiffrar ligg no i legacy-leverandøren i staden for standardleverandøren. Ein nøkkel som er kryptert med ein av desse chiffrane, blir verande gyldig, men eit bibliotek som blir lasta utan legacy-leverandøren kan ikkje dekode han. Hos nokre klientar viser det seg som ein førespurnad som blir gjenteken, hos andre som ein hard feil rett etter passfrasen.

Pars den same nøkkelen to gonger med same binærfil: først berre med standardleverandøren, deretter med både legacy og standard bede om på kommandolinja. Viss det andre forsøket lukkast der det første feila, kviler diagnosen på prov og ikkje på tidspunktet for ei oppgradering. Viss begge feilar identisk, er passfrasen feil eller fila skadd, og inga leverandørinnstilling reparerer nokon av delane.

Sjekk den smalaste tilgjengelege rettinga

Føretrekk ei endring avgrensa til klienten framfor ei systemomfattande. Nokre 2.6-byggjer godtek eit profilval som lastar begge leverandørane for den daemonprosessen, så stadfest direktivet i handboka for din nøyaktige versjon før du stolar på det; å redigere systemet sin openssl.cnf i staden påverkar alle OpenSSL-program på verten. Den smalare innstillinga er også langt lettare å rulle tilbake når nøkkelen er rekoda.

Ikkje slett passfrasen for å få førespurnaden til å forsvinne. Det gjer ein verna legitimasjon om til ei klartekstfil og endrar stille risikoen for kvar sikkerheitskopi, kopi og støttepakke han førekjem i. Skilnaden som betyr noko, er mellom ein nøkkel som treng passfrasen sin, og ein nøkkel som dette biblioteket ikkje kan dekode.

Sjekk tenestekonteksten, og rekod deretter

Når nøkkelen kan låsast opp, krypter han på nytt med ein gjeldande algoritme slik at avhengigheita forsvinn. Skriv den nye fila med ein moderne chiffer, verifiser at ho blir parsa, oppdater profilen, og hald på den gamle kopien berre til ei tilkopling lukkast. Legg aldri passfrasen på ei kommandolinje, der kvar lokal brukar kan lese han frå prosesslista. Fjern den gamle fila først etter at den nye har kopla til frå tenestekontoen, ikkje berre frå skalet ditt.

Sjekk deretter eininga som faktisk køyrer klienten. Ein nøkkel som er leseleg i skalet ditt, kan vere uleseleg for ei teneste som køyrer under ein annan konto eller med ei herda heimekataloginnstilling.

Noter leverandørinnstillinga ved sida av profilen og oppbevar tokommando-testen saman med han. Når ei seinare oppgradering fjernar legacy-leverandøren, køyr den testen på nytt for å sjå om nøkkelen framleis treng han, eller om profilen kan takast ut av omvegen.

Ein førespurnad er eit symptom med minst tre årsaker, og berre éin av dei er ein manglande passfrase.