په Linux کې د AnyConnect ناسم TLS نسخه: لومړی د سمون حد وټاکئ

د ټول هوسټ لپاره LEGACY تګلاره، هر پروسې لپاره OpenSSL ترتیبات او یو ځل کارېدونکی VM پرتله شوي، له هغې برسېره د ګېټوې هغه بدلون چې تېروتنه تل لپاره لرې کوي.

دا تېروتنه د پټنوم غوښتنې دمخه راځي، او همدا ګټوره برخه ده: لا هېڅ شی تصدیق شوی نه دی، نو ستونزه د ننوتلو معلومات نه دي. په Linux کې همدا AnyConnect کړکۍ کېدای شي د پروتوکول له زړې نسخې، د 1024-بټ کلي د تبادلې له ډلې، یا د هغه سایفر له ټولګې راشي چې د سیستم کریپټو تګلاره یې ردوي. ما دا په درې ماشینونو کې په درې بېلو لارو لرې کړه، او هغه څه چې دغه حلونه جلا کوي د زیرکۍ پر ځای د اغېز حد دی. هر یو په سم ځای کې توجیه کېدونکی او په نورو ټولو ځایونو کې بد ډیفالټ دی.

د تګلارې له لمس کولو دمخه پیغام ولولئ

د کړکۍ څخه دقیق متن وساتئ. د نسخې شکایت د پروتوکول طبقې ته، د سند شکایت د باور یا نومونې ته، او ناکام ننوتل د ننوتلو معلوماتو ته اشاره کوي. هغه ګېټوې چې TLS 1.0 د 1024-بټ DHE ډلې، AES-256-CBC او SHA-1 لاسلیک سره وړاندې کوي کېدای شي بشپړ معتبر سند ولري او بیا هم ستاسو معلوماتو له لېږل کېدو دمخه د عصري تګلارې له خوا رد شي.

د سیستم د OpenSSL سره پای ټکی وګورئ، د اصلي هوسټ نوم او هغه پورټ سره چې کلاینټ یې کاروي.

که openssl s_client -connect vpn.example.com:443 -servername vpn.example.com ناکام شي او -tls1 -cipher DEFAULT@SECLEVEL=0 بریالی شي، پوله نسخه او د کلي اندازه یوځای ده. که لومړی امر د پروتوکول خبرداری پر ځای کوچنی DH کلی راپور کړي، نسخه سمه ده او یوازې ډلې ته پام پکار دی. هېڅکله په کتنه کې شخصي کلی یا پټنوم مه اچوئ.

انتخاب 1: ټول هوسټ د کریپټو تګلارې سره نرم کړئ

په Fedora او RHEL 8 او 9 کې، update-crypto-policies --set LEGACY د OpenSSL سیسټمي تګلاره ټیټوي، او update-crypto-policies --show تاییدوي چې څه فعال دي. دا معمولاً تونل بیا رغوي، خو تګلاره د پروسې په پیل کې لوستل کېږي، نو د بیا ازموینې دمخه کلاینټ او هر هغه مرستندویه پروسه چې هغه جوړه کړې بیا پیل کړئ. دا په ماشین کې هر TLS کلاینټ ته زړې پروتوکولونه او کمزورې ډلې هم اجازه ورکوي، له ګاونډي کړکۍ براوزر څخه تر هغه بسته مدیر چې کرنل تازه کوي.

همدا پراخوالی ټول هدف او ټوله ستونزه ده. LEGACY په ټول هوسټ باندې تطبیق کېږي، دوامداره دی او هېرول یې اسانه دي، نو باید د تشخیص یو ګام یا په مدیریت شوې جوړښت کې مستند استثنا وي، هېڅکله د کاري سټیشن د آرام حالت نه. ما یو لیدلی چې دوه کاله پر LEGACY پاتې شو ځکه چې یوې داخلي پورتال ورته اړتیا درلوده، او هېچا نشو کولای ووایي چې کله پیل شو.

Debian او Ubuntu د دې لپاره یو واحد سوئچ نه لري. معادل یې په /etc/ssl/openssl.cnf کې سمون دی چې د سیسټم ډیفالټ برخه کې ټیټ MinProtocol او CipherString = DEFAULT@SECLEVEL=0 ټاکي. همدا حد، بېل فایل، د خپرېدو د لوړولو پر مهال له نظره وتل لږ اسانه.

انتخاب 2: یو کلاینټ لپاره یو ترتیبات فایل

د هرې پروسې لپاره OpenSSL ترتیبات بدلون د یوې پروسې ونې دننه ساتي، خو یوازې هغه وخت چې فایل هغسې وتړل شي لکه کتابخانه چې تمه لري. د ssl_conf برخې نومول بس نه دي: OpenSSL د پورتنۍ کچې openssl_conf کلی لولي، هغه ته تر پیل برخې پورې ځي، او بیا وروسته SSL ډیفالټ ته رسېږي.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

OPENSSL_CONF هغه فایل ته اشاره کړئ او VPN کلاینټ د هغه پوښ له لارې پیل کړئ چې هغه صادروي. په هوسټ کې نور هر څه ډیفالټ تګلاره ساتي، او کله چې د مطابقت پوښتنه راځي همدا ځانګړنه مهمه ده. د ګېټوې له ملامتولو دمخه تایید کړئ چې فایل واقعاً نافذ دی: OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 باید TLS 1.0 سایفرونه لیست کړي، او تش نتیجه یعنې زنځیر مات شوی او کلاینټ په خاموشۍ سیسټم ډیفالټ ساتلي دي.

فایل د نسخې په وړاندې حساس دی. OpenSSL 1.1.1 او 3.x ورته برخې نومونه مني، خو د عرضه کوونکو شاوخوا د لارښوونو پروسس په 3.x کې بدل شو، نو د دې پر ځای چې فکر وکړئ فایل لوستل شوی، د کلاینټ د خپل لاګ او یوې ازموینې لاسوهنې سره یې تایید کړئ. د برخې نوم کې تېروتنه په خلاص ډول ناکامېږي، او کلاینټ په خاموشۍ سیسټم ډیفالټ کاروي.

حد پوښښ دی. هر څه چې له GnuTLS یا NSS سره تړلي وي OPENSSL_CONF له پامه غورځوي، او همدارنګه هغه مرستندویه پروسه چې کلاینټ پرته له چاپېریال میراث اخیستنې پیلوي. د پوښ له جوړولو دمخه په ldd وګورئ چې باینري واقعاً له کومې TLS کتابخانې سره تړلی دی، ځکه ځواب هغه څه دي چې معلوموي دا انتخاب شته که نه.

انتخاب 3: یو ځل کارېدونکی VM یا کنټینر

د هغه قراردادي لپاره چې دوه اونۍ پر یوه زړه ګېټوې برید کوي، د نرمې تګلارې سره ځانګړی VM د کاري سټیشن څخه پاکه پوله ده. زړه سطحه او ورځنی براوزر پروفایل نور د کرنل تګلاره نه شریکوي، او له منځه وړل د پلټنې موندنه نه، ړنګول دي.

دا لا هم په شبکه کې ماشین دی، نو لاسرسی یې محدود کړئ او له عمومي براوزینګ څخه یې لرې وساتئ. د ساتنې لګښت یو بل عکس دی چې پیچ کول غواړي، دا واقعي خو محدود او ښکاره دی، د لپ ټاپ پر یوه هېر شوې LEGACY بیرغ خلاف.

پرتلنه تاسو ته څه پاتې کوي

پر درې پوښتنو وټاکئ: زړه پروتوکول چا ته اړ دی، څومره وخت، او که استثنا له خپل دلیل اوږده ژوند وکړي څوک به یې وپېژني. یو اپ، یو کس، څو ورځې د هرې پروسې ترتیباتو ته اشاره کوي. ټول بېړۍ د یوې وسیلې شاته د ګېټوې خپله اشاره کوي. هر څه چې په هوسټ کې دایمي LEGACY تګلاره غواړي، په تخنیکي جامو کې د پیرودلو پرېکړه ده.

دوامداره سمون د وسیلې پورې اړه لري: TLS 1.2 یا نوی، لږ تر لږه 2048 بټه ډله، AEAD سایفر، او د عصري لاسلیک سره سند. هغه بدلون د وسیلې له مالک څخه وغواړئ، بیا په کلاینټ لاګ کې د خبرو اترو شوې نسخه او سایفر تایید کړئ. استثنا له هوسټ، ګېټوې، خبرو اترو شوي پروتوکول، تصویبوونکي او د پای نیټې سره ولیکئ، ځکه همدا یادښت دی چې موقتي حل د ډیفالټ کېدو مخه نیسي.

اړوندې مقالې