SECLEVEL=0 نښه درملنه کوي، نه سند

د OpenVPN اړیکه ناکامه شي، یو څوک د یوې کرښې سمون پیدا کوي چې SECLEVEL=0 اضافه کوي، او تونل پورته راځي۔ هغه څه چې بدل شول سند نه و او نه د سایفر ټولګه؛ د کتابتون په کچه د منلو یوه پوله وخوځېده، او هر هغه څه چې پروسه وروسته کوي نوې پوله په میراث وړي۔ دا د پوهېدو وړ ده مخکې له دې چې هماغه کرښه په چاپېریال کې هر پروفایل ته کاپي شي۔

وټاکئ کوم کتابتون او کومه تګلاره نافذه ده

SECLEVEL د OpenSSL مفهوم دی، نو لومړی پوښتنه دا ده چې ایا ستاسو جوړښت OpenSSL کاروي۔ OpenVPN کولای شي له یو څخه زیاتو کرپټوګرافي کتابتونونو سره وتړل شي، او هغه تنظیم چې د یوه لپاره معتبر دی د نورو لپاره بې معنا دی۔ له باینري څخه وپوښتئ چې په څه جوړ شوی، بیا له کتابتون څخه وپوښتئ کومه نسخه او ترتیب یې بار کړ:

openvpn --version | head -3
openssl version -a

د نسخې پایله په دقت سره ولولئ، ځکه چې ویشونې پیش فرض ارزښتونه پیچ کوي۔ ځینې د سیسټم ترتیب وړاندې کوي چې لږترلږه کچه د upstream له پیش فرض څخه پورته کوي، او له همدې امله ورته پروفایل په دوه ماشینونو کې چې ورته OpenVPN بنډلونه لري بېل چلند کوي۔ اغېزمنه تګلاره هغه ده چې روانې پروسې بار کړې، نه هغه چې د upstream په لارښود کې ده۔

بیا هغه دوې طبقې جلا کړئ چې خلک یې ګډوي۔ OpenVPN خپل TLS کنټرولونه لري، په شمول د سند پروفایل تنظیم او روښانه سایفر لیستونه، او هغه د هر هغه څه پورته دي چې کتابتون یې لګوي۔ د کتابتون کچه راټیټول نه بدلوي چې ستاسو OpenVPN ترتیب کوم سایفرونه لیست کوي، او د OpenVPN لیست تنګول د کتابتون پوله نه پورته کوي۔ پوهه چې کومه طبقه تاسو رد کړئ، هماغه ده چې سمون له اټکل پاتې کېدو منع کوي۔

هغه درې شيان جلا کړئ چې کېدای شي رد شي

لومړی نوماند د هویت مواد دي: هغه سند چې کیلي یې ډېره کوچنۍ ده یا د هغه لاسلیک الګوریتم چې تګلاره نور نه مني۔ دویم د کیلي تبادلې پیرامیټر دی، لکه هغه ګروپ چې تګلاره یې ډېر کمزوری بولي۔ دریمه هغه سایفر ټولګه ده چې تګلاره یې خارجوي۔ درې واړه کولای شي د لاس ورکولو ناکامي رامنځته کړي، او یوازې د تېروتنې متن او د خبرو اترو پړاو یې جلا کوي۔

له دې درېیو څخه هیڅ یو د معلوماتو کانال سایفر نه دی۔ OpenVPN د خپل تونل کوډ کول له TLS لاس ورکولو څخه جلا خبرې کوي، نو هغه اړیکه چې د امنیت کچې له بدلون وروسته بریالۍ شي د دې په اړه هیڅ نه وايي چې کوم سایفر ستاسو پیلوډ ساتي۔ که هغه پوښتنه چې تاسو واقعاً کوئ د معلوماتو د محرمیت په اړه وي، تاسو په بشپړه توګه غلط کنټرول ته ګورئ۔

د کچې راټیټول د درېیو انپټونو لپاره مننه یوځای پراخوي۔ دا هغه برخه ده چې خلک یې له لاسه ورکوي: هغه سمون چې زوړ سند مني کمزوری ګروپ او هغه ټولګه هم مني چې شاید تاسو د اجازې ورکولو اراده نه درلوده۔ یوې تېروتنې بدلون رامنځته کړ، او بدلون له تېروتنې پراختر دی۔ دا نابرابري هغه دلیل دی چې محدوده استثنا د ټول چاپېریال پیش فرض څخه غوره ده۔

انپټ بدل کړئ، نه پوله

د ترتیب له لاس وهلو دمخه دقیقه تېروتنه وساتئ، په شمول هغه پړاو چې راپور یې ورکړ او هغه شی چې نوم یې واخیست۔ د سند ستونزه د سند په بدلولو سره حل کېږي په هغه څه چې اوسنۍ تګلاره مني، چې معمولاً په دې معنا ده چې له مرجع څخه یې بیا صادر کړئ، نه دا چې هماغه فایل بیا نصب کړئ۔

که رد شوی انپټ د هغه همکار وي چې تاسو یې کنټرول نه لرئ، خبرې د هغه له مالک سره د ملاتړ شوي بدیل موادو په اړه دي۔ خپله پوله راټیټول تر څو هغه سیسټم ځای پرځای کړئ چې هیڅوک یې ساتنه نه کوي، لګښت له دوی څخه هغو ټولو ته لیږدوي چې له دوی وروسته نښلوي۔

چېرته چې سرور تګلاره پلي کوي، مخکې له دې چې کتابتون ملامت کړئ وګورئ چې ایا د OpenVPN کچې تنظیم ریښتینی لامل دی۔ هغه سند پروفایل چې له هغې سختې طبقې غوښتنه کوي چې ځای پرځای شوی سند یې نه شي پوره کولای به د امنیت کچې هر څه وي ناکام شي، او هغه پروفایل لرې کول د کتابتون د څېړنو بندولو څخه تنګ بدلون دی۔

که باید راټیټ یې کړئ، محدود یې کړئ او ثبت یې کړئ

کله کله تصویب شوې مطابقت استثنا سم ځواب وي، په ځانګړي ډول د هغه زوړ همکار لپاره چې نیټه لرونکې تقاعد پلان لري۔ دا یوازې هغه خدمت ته محدود کړئ چې ورته اړتیا لري نه ټول هوسټ: د خدمت ځانګړی ترتیب فایل یا ځانګړی OpenSSL ترتیب په نړیوال پروفایل کې د صادراتو څخه لږ اغېز لري۔

له استثنا سره څلور شیان ولیکئ: دقیق تنظیم، هغه مالک چې تصویب کړی یې، هغه مراجعین چې اغېزمن کېږي، او هغه شرط چې لاندې یې لرې کېږي۔ پرته له تقاعد شرط څخه استثنا د لنډمهاله توجیه سره یو تلپاتې کمزوري ده۔

بیرته تګ باید یو هغه ګام وي چې تاسو یې مخکې ازمویلی دی۔ پخوانی ترتیب وساتئ، بدلون پلي کړئ، تایید کړئ چې خدمت پیلېږي، او په دقیق ډول پوه شئ چې که راتلونکې اړیکه د تمې خلاف چلند وکړي کوم فایل بحال کړئ۔

بیا هویت او ساتنه تایید کړئ

بریالۍ اړیکه یوازې دا ثبوي چې بیاکتل شوو شرایطو هغه منلې ده۔ تایید کړئ چې د کوربه نوم او همکار تایید لا هم خپله کار کوي، چې کارول شوی سند هغه دی چې تاسو یې ځای پرځای کول غوښتل، او چې خبرې شوی معلوماتي کانال له هغې تګلارې سره سمون لري چې تاسو فکر کوئ لرئ۔

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

د OpenSSL د امنیت کچو مرجع په صراحت وايي چې چوکاټ په کیلي، لاسلیکونو، ګروپونو او ټولګو باندې محدودیتونه یوځای لګوي، او صفر کچه هر هغه څه ته اجازه ورکوي چې کال بیک یې څیړي۔ دا ستاسو د بدل شوي شیانو حد دی، او دا هغه جمله ده چې باید نقل شي کله چې څوک پوښتنه کوي چې ایا سمون تنګ و۔

هغه سپارل چې پلټنې ته دوام ورکوي وايي کومې تګلارې کوم انپټ رد کړ، څه بدل شول، او په پایله کې څه منل شوي پاتې کېږي۔ „دا له SECLEVEL=0 سره کار کوي“ د یوې اړیکې په اړه مشاهده ده، نه د ځای پرځای کولو امنیتي ارزونه۔