SSTP او SSL 3.0: نښه د منل شوې نسخې په مقابل کې

دوه کسان کولای شي یو ډول SSTP ځای پر ځای کول وګوري او مخالفې پایلې ته ورسیږي۔ یو یې د محصول اسناد لولي، د SSL توري ویني او انګېزه کوي چې ټنل هغه پروتوکول چلوي چې کلونه دمخه لرې شوی۔ بل یې یوې نوي دستکونې ته اشاره کوي او وایي چې پوښتنه بنده ده۔ دواړه د نښو له مخې بحث کوي، نه د منل شوې نسخې له مخې، او یوازې یو له دغو دواړو ثبوت دی۔ پرتله چې د کولو ارزښت لري هغه د نوم د ژمنې او د خدمت د واقعي ټاکنې ترمنځ ده۔

یوې پوښتنې ته دوه ځوابونه

د نښې استدلال آسانه بیانېږي: SSTP د سوکټ له لارې د خوندي ټنلینګ پروتوکول په توګه تشریح کېږي، تاریخي نوم SSL وایي، نو اړیکه باید SSL 3.0 وي۔ دا پاتې کېږي ځکه چې نوم واقعاً له هغې کرښې راځي او ځکه چې ډېری تکراروونکي هېڅکله دستکونه نه ده کتلي۔ دا هم پاتې کېږي ځکه چې پایله محتاطه ښکاري، لکه بدترین فرض کول خوندي انتخاب وي۔ بدترین فرض کول او ریښتینې نسخه اندازه کول دوه بېل کارونه دي، او یوازې یو یې څه بدلوي۔

د ثبوت استدلال تنګه پوښتنه کوي۔ دا کلاینټ او دا سرور په کومه پروتوکول نسخه موافقه وکړه، په دې پای ټکي کې، په دې وخت کې؟ ځواب هغه خدمت راکوي چې TLS پای ته رسوي، نه د بازارموندنې یوه پاڼه او نه هغه براوزر چې ورته نوم لرونکي وېبپاڼې ته رسېدلی وي۔

دغه دوه استدلالونه په دې کې توپیر لري چې څه ثابتولای شي۔ نښه زړه ځای پر ځای کول له ترمیم شوي نه بېلولای نه شي، او دستکونه نه شي ویلی چې په همدې کوربه باندې یو ناتړلی خدمت څه کوي۔ دویم وکاروئ او لومړی پرېږدئ۔

هغه نسخه ولولئ چې خدمت یې واقعاً ټاکي

د برخو په نومولو پیل وکړئ: د کلاینټ پلي کول، د سرور پلي کول، د TLS پای ټکی او هغه هر څه چې په منځ کې TLS پای ته رسوي او بیا یې جوړوي۔ یو د بار انډول کوونکی چې TLS پای ته رسوي او له بیکنډ سره ساده HTTP خبرې کوي، بدلوي چې تاسو د کومې وسیلې پالیسي ولولئ۔

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

پای ټکی او وخت د پایلې ترڅنګ ولیکئ، ځکه وروسته د پالیسۍ بدلون بې نېټې کتنه بې ګټې کوي۔ ازموینه له هغه کلاینټ څخه تکرار کړئ چې ستاسو د پام وړ کاروونکو سره په همدې شبکه یي لار کې وي، ځکه یو مخنیوی وسیله کولای شي TLS په خپلو تنظیماتو پای ته ورسوي۔ که دواړه دریځونه سره سمون نه لري، تاسو هغه برخه وموندله چې اهمیت لري۔ که سره سمون لري، تاسو ثبوت لرئ نه شعار۔

د ریکارډ ساحه له منښتې جدا کړئ

په یوه ساحه کې زوړ ښکارېدونکی نسخه شمېر هغه حقیقت نه دی چې د SSL 3.0 ناسته یې ده۔ RFC 7568 د ریکارډ طبقې نسخه او منل شوی پروتوکول بېلې چارې ګڼي، او همدا توپیر دی چې ډاډمن غلط ځوابونه ترې راځي۔ منل شوی پروتوکول ولولئ، بیا کوډ، او یوازې بیا د ناستې په اړه پایله وکړئ۔

همدا سند د پروتوکول په اړه روښانه دی: SSL 3.0 نه باید وکارول شي، او پرې منښته یا بیرته تګ منع دي۔ لامل هغه مات CBC جوړښت دی چې POODLE برید ترې ګټه پورته کړه، او دا د پروتوکول ځانګړنه ده، نه د یو تطبیق ترتیب۔

نو ځکه «دا بار ګمان کېږي چې استحصال یې ستونزمنه ده» د SSL 3.0 فعال ساتلو لپاره استدلال نه دی۔ غوښتنه دا ده چې پروتوکول لرې کړئ، نه دا چې د یوې ښودنې په اړه بحث وګټئ۔

SSL 3.0 د هغې پالیسۍ سره لرې کړئ چې دفاع یې کولای شئ

په Windows کې د Schannel د پروتوکول تنظیمات د Protocols کلۍ لاندې دي او د کلاینټ او سرور رول لپاره بېل لوستل کېږي، نو ځکه یو لوري ته سمون ورکوونکی بدلون بل لوري نه لمس کوي۔ اوسني تنظیمات او د بیا پیل غوښتنې Microsoft مستند کړي، او په همدې کوربه باندې دریمې خوا TLS کتابخانه هغه په بشپړه توګه نه ګڼي۔

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

پالیسي د ملاتړ شوي ادارې لارې بدله کړئ، تایید کړئ چې مالک خدمت خپل ترتیب بیا ترلاسه کوي، او د بېرته تګ یوه تصویب شوې لار وساتئ۔ له بل چاپېریال څخه پراخه راجستر سکریپټ نښلول هغه لاره ده چې د یو خدمت سمون په ماشین باندې د هر TLS کلاینټ لپاره د بندښت سبب کېږي۔ د بیا پیل حد دلته مهم دی: هغه تنظیم چې پلي شوی ښکاري ممکن اوس هم د هغه خدمت په حافظه کې وي چې بیا یې نه دی لوستی۔

هغه سیال چې اوس هم زړه نسخه غواړي تازه کول یا د لېږد پلان ته اړتیا لري۔ نه مستند شوی استثنا چې په چوپتیا زوړ پروتوکول بېرته راولي د مطابقت ستراتیژي نه ده او بل پلټنې ته نه پاتې کېږي۔

بدلون د تازه اړیکو سره ومنئ

د پالیسۍ بدلون وروسته نوې ناستې وازموئ، ځکه هغه اړیکه چې له بدلون دمخه جوړه شوې وه د اوسني ترتیب په اړه هېڅ نه ثابتوي۔ تایید کړئ چې اجازه لرونکی پروتوکول بریالی دی او منع پروتوکول د مجاز تصدیق بهیر کې ناکامېږي، بیا د سند هویت او د باور کتنې هماغسې پرېږدئ لکه چې وې۔

په یاد ولرئ چې دستکونه څه نه پوښي۔ SSTP له TLS طبقې وروسته PPP تصدیق لېږي، نو یوه نوې پروتوکول نسخه هېڅ نه وایي چې کوم کاروونکی مجاز شو یا ناسته کومو سرچینو ته رسېدلای شي۔ دا بېل کنټرولونه دي بېلو ثبوتونو سره۔

پایله د خدمت، بیکنډ، اجازه لرونکې پالیسۍ او کتل شوې نسخې په توګه ولیکئ۔ دغه ریکارډ د امنیت پوښتنې ته دقیق ځواب ورکوي، کوم چې نه د نښې استدلال ورکوي او نه د تکلیف استدلال۔