ca md too weak: سند بیا صادر کړو که کچه راټیټه کړو؟

OpenVPN کلاینټ چې تېره میاشت کار کاوه، اوس د پیل پر مهال د دې سره ناکام شي: ca md too weak, او په ډیسک کې پروګرام فایل د هغه چې کار کاوه سره بایټ په بایټ یو شان دی. پیغام د سند واکمنې ادارې د سند پر لاسلیک اړه لري، نه د معلوماتو سایفر، auth ډایجسټ یا د حساب پاسورډ. درې شرطونه فیصله کوي چې حل نوی پیژندګلوي مواد دی، نوی زنځیر دی، که په قصد پالیسي بدلون. هغه په ترتیب سره ترسره کړئ، نو په هوسټ کې هر TLS اړیکه کمزورې کولو سره تونل بېرته راوستلو معمول پایله به یې مخه ونیول شي.

تېروتنه واقعاً د څه نوم اخلي

OpenSSL دا تصدیق تېروتنه د زنځیر جوړولو پر مهال پورته کوي، کله چې د CA په توګه کار کوونکی سند داسې لاسلیک ډایجسټ ولري چې د کتابتون امنیتي کچه یې نور نه مني. MD5 په ډیفالټ کچه ردېږي، او SHA-1 کچه لوړه شي نو ردېږي. دلته د پاڼې سند ډایجسټ له هغه صادروونکي ډایجسټ څخه چې لاسلیک یې کوي کم اهمیت دی. هماغه پالیسي کولای شي هغه ریښه هم رد کړي چې د صادرولو په ورځ بشپړ عادي وه.

همدې لپاره auth یا data-ciphers سمول دې ناکامۍ لپاره هېڅ نه کوي. هغه تنظیمات وایي چې له لاس ورکولو وروسته بستې څنګه ساتل کیږي، خو رد شوی شی هغه پیژند سند دی چې د تونل له رامنځته کېدو مخکې څیړل کیږي. سند کولای شي په خپله اعتبار موده کې آرام وي او بیا هم داسې لاسلیک ولري چې کتابتون به یې ومني نه.

څیړنې په ذهن کې جلا وساتئ، نو تېروتنه به له اسراره ډکه ښکاره کیدل بند کړي. د اعتبار نیټې، د کیلي کارول او لاسلیک ډایجسټ خپلواک ازموینې دي، او یوازې یو له هغو څخه همدا اوس ناکام شو.

لومړی شرط: ایا رد شوی شی ریښه ده؟

په پروګرام فایل کې هر سند چاپ کړئ او subject او issuer ځایونه ولولئ. په ځان لاسلیک شوې ریښه په دواړو کې یو شان ارزښت ښیي، او د هغې لاسلیک الګوریتم هغه دی چې ټول زنځیر پرې ولاړ دی. کله چې کمزوری ډایجسټ هلته وي، هر هغه پاڼه چې لاندې یې ده ستونزه میراث اخلي. وروستۍ پرتله له حافظې نه، میخانیکي وي، نو الګوریتم د subject ترڅنګ ولیکئ.

یوځای شوي CA فایلونه ډیر ځله څو بلاکونه لري، نو لومړی یې ګناهکار مه ګڼئ، بلکې هغه بلاک وپېژنئ چې واقعاً لوډیږي. کمانډ openssl x509 -in ca.pem -noout -subject -issuer -text په یو وخت کې یو سند تشریح کوي، مانا دا چې که بنډل کې نور هم وي لومړی یې جلا کول ضروري دي. چاپ شوی لاسلیک الګوریتم له هغه ډایجسټ سره پرتله کړئ چې د ریښې جوړیدو دورې څخه یې تمه لرئ.

د کمزورې ریښې لاندې د SHA-256 سره لاسلیک شوې پاڼه هم ناکامېږي، ځکه چې د زنځیر څیړنه تر سر پورې ځي. همدا ترتیب بل شرط مهموي.

دویم شرط: ایا صادروونکی ستاسو په کنټرول کې دی؟

که ریښه ستاسو سازمان پورې تړلې ده، دوامداره حل د عصري ډایجسټ سره نوې ریښه او بیا صادر شوې پاڼې دي، چې د یو پروګرام فایل تازه کولو په توګه ورکول کیږي. دا د ساتنې وخت او د هغو وسیلو لپاره چې په همدې ورځ تازه کول نشي کولای پلان غواړي.

که زنځیر دریم اړخ صادر کړی وي، حل هغه آپریټر ته غوښتنه ده، او یوازینی ګټور محلي ګام دا دی چې پر زوړ مواد تکیه بند کړئ. د PEM متن سمول یا فایل بیا خوندي کول په هغه څه کې چې لاسلیک یې پوښي هېڅ نه بدلوي.

یو منځنی حالت د نوم وړ دی: داخلي ریښه چې له اوسنیو ډیفالټونو زوړه ده خو بیا هم داسې مواد لاسلیک کوي چې نور سیستمونه پرې باور لري. د هغې بدلول د هر کارونکي پلټنه مانا لري، په شمول هغو وسایلو چې زوړ سند د ګوتې نښې سره پین کوي. د بدلون د مهالویش مخکې هغه کارونکي وشمېرئ، ځکه چې یو هم پریښودونکی ریښه بدلون د پیل تېروتنه د خدمت دریدو سره بدلوي.

دریم شرط: د کچې راټیټول نور څه هم مني

د امنیتي کچې راټیټول، یا د OpenVPN زوړ سند پروګرام فایل غوره کول، کلاینټ اړباسي چې زوړ ډایجسټ بیا ومني. دا په هماغه کتابتون کې نورې څیړنې هم سستوي، د هغه پروسې لخوا هرې اړیکې لپاره.

دا په لابراتوار کې، یا د بدیل موادو د چمتو کیدو پر مهال د لنډ پل په توګه، د توجیه وړ کیدای شي، تر څو چې استثنا یوازې یو پروګرام فایل ته محدوده وي او د پای نیټه ولري. په شریک هوسټ کې د دايمي تنظیم په توګه دا په خاموشۍ سره هغه پراخوي چې هلته هر TLS کلاینټ به پرې باور وکړي.

استثنا د مسؤل کس او د لرې کولو ګام سره ولیکئ. شپږ میاشتې وروسته نه ثبت شوی کچه بدلون له خطا څخه نه جلا کیږي، او بل انجینر به نه پوهیږي چې دا کله هم یوه پریکړه وه.

پریکړه، د یوې قاعدې په توګه لیکل شوې

زنځیر بدل کړئ کله چې صادروونکی ستاسو په کنټرول کې وي او کارونکي یې وشمېرلی شئ. کله چې نه وي، صادروونکي ته پورته کړئ. کچه یوازې د نیټې او حدودو لرونکې استثنا په توګه راټیټه کړئ، چې بدیل یې مخکې مهالویش شوی وي. هر بل څه هماغه سند پر خپل ځای پریږدي او خطر یو لږ ښکاره ځای ته لیږدوي.

بیا پروګرام فایل له پاک کلاینټ څخه بیا ازموئ، تصدیق کړئ چې لاس ورکول بشپړیږي، او که بیا هم ناکام شي د ردولو دقیق متن وساتئ. دقیق تېروتنه پیغام تر ټولو ارزانه شی دی چې بلې طبقې مالک ته یې ورکولای شئ.