یو زوړ همکار TLS 1.0 ته اړ باسي: استثنا محدوده کړه، نه هوسټ

یوه زوړه وسیله راڅرګندیږي، نشي کولی وصل شي، او تر ټولو ګړندی ښکاره حل دا دی چې ټول هوسټ کمزوری کړو تر څو چې اړیکه بریالۍ شي۔ هغه تبادله په هغه شیبه کې نه لیدل کیږي او په عمل کې تلپاتې وي، ځکه چې هیڅوک هغه حد نه لرې کوي چې بالاخره کار کوي۔ فشار دوه په بشپړه توګه مختلفې خرابۍ رامنځته کوي، او یوازې یوه یې د سایفرونو په اړه ده۔ لومړی خرابي درجه بندي کړه، بیا استثنا هلته کیږده چې نشي خپریدلی۔

د لارښوونې بدلولو دمخه پاتې کیدل په دوه برخو وویشه

د سرور لاګ کرښه چې وایي ګډ سایفر نشته یا د پروتوکول نسخه نه ملاتړ کیږي، د کنټرول چینل څخه راځي: دواړه خواوې نشو کولی موافقه وکړي چې پخپله خبرې اترې څنګه وژغوري۔ د کلاینټ کرښه چې وایي د سرور د سند د تایید هیڅ طریقه فعاله نه ده، له بشپړ بل ځای څخه راځي، ځکه چې هغه کلاینټ هغه هم نه ګوري چې څوک ځواب ورکړ۔ د معلوماتو سایفر بدلول په دوهم حالت کې هیڅ نه کوي، او د رول معایناتو زیاتول په لومړي کې هیڅ نه کوي۔

د قطع کیدو دمخه وروستۍ کرښه نه، بلکې د هر لوري تر ټولو لومړنۍ ناکامه کرښه واخله، ځکه چې وروستۍ معمولاً یوازې پایله ده۔ بیا معلومه کړه چې کلاینټ واقعاً کومه فایل پرانیست: وارد شوی پروفایل اکثراً د مختلفو ښکاریدونکو نومونو سره دوه ځله وي، او د هغې کاپي سمول چې هیڅوک نه لولي د باور وړ بدلون-نه-کیدل جوړوي۔ روان بهیر هغه تنظیمات ساتي چې پیل یې کړی و، نو خوندي شوې فایل بار شوې فایل نه ده۔ لاندې کمانډونه د هغې ورته هڅې کلاینټ خبرې اترې او د سرور لید څنګ په څنګ ښیي۔

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

د کمزوري حد لپاره دوهم اوریدونکی صادق ځای دی

کله چې وسیله د 2.5 څخه دمخه د معلوماتو چینل سره په TLS 1.0 ودریږي، سرور باید د کنټرول چینل ټیټ حد او هغه د معلوماتو سایفر وړاندې کړي چې زوړ کلاینټ یې پیژني۔ د فال بیک لارښوونه دقیقاً د همدې همکار لپاره ده، پداسې حال کې چې د سایفرونو لیست عصري کلاینټونه په عصري سیټونو ساتي۔ دواړه لارښوونې د اوریدونکي دي نه د کارونکي یا اړیکې، او هیڅ د هر کلاینټ اختیار وروسته هغوی تنګ نه کوي۔ له همدې کبله په اصلي پورټ کې یوه زوړه وسیله د هر هغه همکار په اړه پریکړه ده چې هغه پورټ شریکوي۔

چیرې چې پلیټ فارم اجازه ورکوي، زوړ اوریدونکی په جلا پورټ کې د خپل انسټانس په توګه وچوه، هغه پورټ یوازې د وسیلې له آدرس څخه اجازه کړه، او اصلي خدمت پریږده۔ ولیکه چې دوهم اوریدونکی ولې شته، په هغه فایل کې چې د هغې ترتیبات لري، که نه نو راتلونکی پاکوالی به هغه د پاتې کثافاتو په توګه ولولي۔ ویش یوازې هغه وخت ارزښت لري چې کمزوری حد هلته پای ته ورسیږي چېرې چې وسیله پای ته رسي۔

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

زوړ د خدمت وړونکی سند واقعاً څه ماتوي

د تایید تېروتنه یو ورک شوی د رول تړاو دی: پرته له هغې کلاینټ هر هغه سند مني چې د باوري CA سره تړل شوی وي، که هغه د سرور لپاره صادر شوی وي یا نه۔ لومړی سند د سرور رول سره وتړه، او تړاو د تنظیم تڼۍ نه بلکې د اړتیا په توګه وګڼه۔ یوازې هغه پروفایل چې د دې مرحلې وروسته هم ناکام شي ریښتینی د سند ستونزه لري۔

زوړ د خدمت وړونکی سند چې د کیلي اندازه یا د لاسلیک الګوریتم یې نور د OpenSSL ډیفالټ پالیسي نه پوره کوي، د کنټرول چینل په امنیتي کچه کې د محدود بدلون قضیه ده۔ هلته د کچې ټیټول تایید نه بندوي، او دا باید هیڅکله د خالي CA، بند شوي تایید یا نه معاینه شوي هوسټ نوم سره یوځای نشي۔ کرښه په هماغه یو پروفایل کې وساته چې ورته اړتیا لري؛ د نرمې شوې OpenSSL ترتیباتو نړیوال صادرول به په ماشین کې هر پروګرام ته ورته نرمښت ورکړي۔

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

بینر نه، د خبرو اترو ټاکل شوي ارزښتونه ولوله

د verbosity 4 په کچه دواړه خواوې هغه د کنټرول چینل TLS نسخه او سایفر چاپوي چې موافقه یې کړې، او د غونډې د معلوماتو سایفر۔ هغه کرښې ولوله نه د پیل بینر، چې بریا راپور کوي نه د هغې شرایط۔ بیا عصري کلاینټ بیا اصلي اوریدونکي سره وتړه او تایید کړه چې لا هم په عصري سیټ کې ځای نیسي، ځکه چې په شریکو ترتیباتو کې توی شوې استثنا لومړی همدلته ښکاري۔ هغه ارزښتونه چې کاپي کوي د راتلونکې بیاکتنې بنسټ کیږي۔

زوړه وسیله پخپله وازمویه: باید وصل شي، او باید په لاګونو کې یوازینۍ هغه غونډه وي چې کمزوري پارامیټرونه ښیي۔ که دوهم همکار هم د زوړ سیټ خبرې اترې وکړي، استثنا له ارادې پراخه ده او د اوریدونکو ویش واقعاً نه دی شوی۔ دواړه مشاهدې ولیکه نه یوازې پایله۔

هره استثنا مالک او نیټې ته اړتیا لري

بې له لرې کولو شرط پرته استثنا په چوپتیا ډیفالټ کیږي، نو وسیله، مالک، لامل او هغه نیټه چې پکې ورکیږي د هغې ترتیباتو څنګ ته کیږده چې هغه توجیه کوي۔ پرته له دې کرښې کمزوری حد له هغه هارډویر اوږد ژوند کوي چې ورته اړتیا وه۔

د کلاینټ بدلول، یا له خدمت وړونکي څخه اوسنی پروفایل غوښتل، هغه پایله ده چې باید هدف وي؛ استثنا ځنډ دی نه ډیزاین۔ کله چې وسیله تقاعد شي، اوریدونکی او پروفایل په یوه بدلون کې لرې کړه تر څو هیڅ نیمه نه پاتې کیږي۔ له دې څخه هیڅ زاړه پارامیټرونه خوندي نه کوي، یوازې د یوې وسیلې حد د ټولو بنسټ کیدو مخه نیسي۔