පැරණි සහකරුවෙක් TLS 1.0 බලකරයි: ව්‍යතිරේකය සීමා කරන්න, සත්කාරකය නොවේ

පැරණි උපාංගයක් මතු වේ, සම්බන්ධ විය නොහැක, සහ වේගවත්ම ලෙස පෙනෙන අලුත්වැඩියාව සම්බන්ධතාවය සාර්ථක වන තෙක් මුළු සත්කාරකයම දුර්වල කිරීමයි. එම හුවමාරුව එකී මොහොතේ නොපෙනෙන අතර ප්‍රායෝගිකව ස්ථිරය, මන්ද අවසානයේ වැඩ කරන පහළ සීමාව කිසිවෙක් ඉවත් නොකරයි. බලපෑම සෑදෙන්නේ සම්පූර්ණයෙන්ම වෙනස් දෝෂ දෙකකිනි, ඒවායින් එකක් පමණක් සයිෆර් ගැනය. පළමුව දෝෂය වර්ග කරන්න, පසුව ව්‍යතිරේකය පැතිරිය නොහැකි තැනක තබන්න.

විධානයක් වෙනස් කිරීමට පෙර අසාර්ථකත්වය දෙකට බෙදන්න

පොදු සයිෆරයක් නැති බව හෝ සහාය නොදක්වන ප්‍රොටෝකෝල සංස්කරණයක් බව පවසන සේවාදායක ලොග් පේළිය පාලන නාලිකාවෙන් එයි: දෙපසට සාකච්ඡාවම ආරක්ෂා කරන ආකාරය ගැන එකඟ විය නොහැකි විය. සේවාදායක සහතික සත්‍යාපන ක්‍රමයක් සක්‍රීය නැති බව පවසන සේවාලාභී පේළිය සම්පූර්ණයෙන්ම වෙනත් තැනකින් එයි, මන්ද එම සේවාලාභියා පිළිතුරු දුන්නේ කවුරුන්ද යන්න පවා පරීක්ෂා නොකරයි. දත්ත සයිෆරය වෙනස් කිරීම දෙවන අවස්ථාවට කිසිවක් නොකරයි, භූමිකා පරීක්ෂාවක් එකතු කිරීම පළමු අවස්ථාවට කිසිවක් නොකරයි.

විසන්ධියට පෙර අවසාන පේළිය නොව, එක් එක් පැත්තේ මුල්ම අසාර්ථක පේළිය ගන්න, මන්ද අවසාන පේළිය සාමාන්‍යයෙන් ප්‍රතිඵලයක් පමණි. පසුව සේවාලාභියා සැබවින්ම විවෘත කළේ කුමන ගොනුවද යන්න තහවුරු කරන්න: ආයාත කළ පැතිකඩ බොහෝ විට වෙනස් දර්ශන නාම යටතේ දෙවරක් පවතී, කිසිවෙක් නොකියවන පිටපත සංස්කරණය කිරීම විශ්වාසදායක වෙනසක්-නැති බවක් නිර්මාණය කරයි. ක්‍රියාත්මක වන ක්‍රියාවලිය එය ආරම්භ කළ විට තිබූ සැකසුම් රඳවා ගනී, එබැවින් සුරකින ලද ගොනුවක් පූරණය කළ ගොනුවක් නොවේ. පහත විධාන එම උත්සාහයේ සේවාලාභී සාකච්ඡාව සහ සේවාදායකයාගේ දර්ශනය අසලින් පෙන්වයි.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

දුර්වල පහළ සීමාවකට සුදුසුම තැන දෙවන ශ්‍රාවකයයි

උපාංගය 2.5 ට පෙර දත්ත නාලිකාවක් සමඟ TLS 1.0 ට නතර වන විට, සේවාදායකය පාලන නාලිකාවේ අඩු පහළ සීමාවක් සහ පැරණි සේවාලාභියා හඳුනන දත්ත සයිෆරයක් ඉදිරිපත් කළ යුතුය. පසුගාමී විධානය ඇත්තේ හරියටම එම සහකරු සඳහා ය, සයිෆර් ලැයිස්තුව නවීන සේවාලාභීන් නවීන කට්ටලවල රඳවා ගනී. විධාන දෙකම අයත් වන්නේ පරිශීලකයාට හෝ සම්බන්ධතාවයට නොව ශ්‍රාවකයාටය, පසුව කිසිදු සේවාලාභී-විශේෂිත විකල්පයක් ඒවා පටු නොකරයි. ඒ නිසාම ප්‍රධාන වරායේ පැරණි උපාංගයක් තිබීම එම වරාය බෙදාගන්නා සෑම සහකරුවෙකු ගැනම ගත් තීරණයකි.

වේදිකාව ඉඩ දෙන තැන, පැරණි ශ්‍රාවකය වෙනම වරායක තමන්ගේම අවස්ථාවක් ලෙස ධාවනය කරන්න, එම වරායට ඉඩ දෙන්නේ උපාංගයේ ලිපිනයෙන් පමණක්, ප්‍රධාන සේවාව නොසලකා හරින්න. දෙවන ශ්‍රාවකය පවතින්නේ ඇයිද යන්න එහි වින්‍යාසය ඇති ගොනුවේ ලියන්න, නැතිනම් අනාගත පිරිසිදු කිරීමක් එය ඉතිරි කුණු ලෙස කියවනු ඇත. දුර්වල පහළ සීමාව උපාංගය අවසන් වන තැනම අවසන් වුවහොත් පමණක් මෙම බෙදීම වටී.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

පැරණි සැපයුම්කරුගේ සහතිකය සැබවින්ම බිඳ දමන්නේ කුමක්ද

සත්‍යාපන දෝෂය යනු අතුරුදහන් භූමිකා බැඳීමකි: එය නොමැතිව සේවාලාභියා විශ්වාසදායක CA එකකට දාමයක් වන ඕනෑම සහතිකයක් පිළිගනී, එය සේවාදායකයකු සඳහා නිකුත් කළේ ද නැද්ද යන්න නොසලකා. මුලින්ම සහතිකය සේවාදායක භූමිකාවට බැඳ එය අවශ්‍යතාවක් ලෙස සලකන්න, සීරුමාරු බොත්තමක් ලෙස නොවේ. එම පියවරෙන් පසුවත් අසාර්ථක වන පැතිකඩකට පමණක් සැබෑ සහතික ගැටලුවක් ඇත.

යතුරු ප්‍රමාණය හෝ අත්සන් ඇල්ගොරිතම තවදුරටත් OpenSSL හි පෙරනිමි ප්‍රතිපත්තිය සපුරා නොදක්වන පැරණි සැපයුම්කරු සහතිකයක් යනු පාලන නාලිකාවේ ආරක්ෂක මට්ටම සීමිතව වෙනස් කිරීමේ අවස්ථාවයි. එහි මට්ටම පහත දැමීම සත්‍යාපනය ක්‍රියා විරහිත නොකරයි, එය කිසිවිටෙක හිස් CA එකක්, අක්‍රීය සත්‍යාපනයක් හෝ නොපරීක්ෂා කළ සත්කාරක නාමයක් සමඟ එකතු නොකළ යුතුය. පේළිය එය අවශ්‍ය එකම පැතිකඩ තුළ තබන්න; ලිහිල් කළ OpenSSL වින්‍යාසයක් ගෝලීයව අපනයනය කිරීම යන්ත්‍රයේ සෑම වැඩසටහනකටම එම ලිහිල් කිරීමම ලබා දෙනු ඇත.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

බැනරය නොව, සාකච්ඡා වූ අගයන් කියවන්න

verbosity 4 දී දෙපසම ඔවුන් එකඟ වූ පාලන නාලිකා TLS සංස්කරණය සහ සයිෆරය, සහ සැසියේ දත්ත සයිෆරය මුද්‍රණය කරයි. ආරම්භක බැනරය නොව එම පේළි කියවන්න, මන්ද බැනරය සාර්ථකත්වය වාර්තා කරයි, එහි කොන්දේසි නොවේ. පසුව නවීන සේවාලාභියෙකු ප්‍රධාන ශ්‍රාවකයට නැවත සම්බන්ධ කර එය තවමත් නවීන කට්ටලයකට වැටෙන බව තහවුරු කරන්න, මන්ද බෙදාගත් වින්‍යාසයට කාන්දු වූ ව්‍යතිරේකයක් මුලින්ම පෙනෙන්නේ මෙහි ය. ඔබ පිටපත් කරන අගයන් ඊළඟ සමාලෝචනයේ පදනම බවට පත් වේ.

පැරණි උපාංගය තනිවම පරීක්ෂා කරන්න: එය සම්බන්ධ විය යුතුය, සහ ලොග්වල දුර්වල පරාමිතීන් පෙන්වන එකම සැසිය එය විය යුතුය. දෙවන සහකරුවෙකු ද පැරණි කට්ටලය සාකච්ඡා කරන්නේ නම්, ව්‍යතිරේකය අපේක්ෂිත ප්‍රමාණයට වඩා පුළුල් ය, ශ්‍රාවක බෙදීම සැබවින්ම සිදු වී නැත. නිගමනය පමණක් නොව නිරීක්ෂණ දෙකම සටහන් කරන්න.

සෑම ව්‍යතිරේකයකටම හිමිකරුවෙකු සහ දිනයක් අවශ්‍යයි

ඉවත් කිරීමේ කොන්දේසියක් නොමැති ව්‍යතිරේකයක් නිහඬව පෙරනිමිය බවට පත් වේ, එබැවින් උපාංගය, හිමිකරු, හේතුව සහ එය ඉවත් වන දිනය එය යුක්ති සහගත කරන වින්‍යාසය අසල තබන්න. එම පේළිය නොමැතිව දුර්වල පහළ සීමාව එය අවශ්‍ය වූ දෘඩාංගයට වඩා දිගු කල් පවතී.

සේවාලාභියා ප්‍රතිස්ථාපනය කිරීම, හෝ සැපයුම්කරුගෙන් වර්තමාන පැතිකඩක් ඉල්ලීම, අපේක්ෂා කළ යුතු ප්‍රතිඵලයයි; ව්‍යතිරේකය යනු ප්‍රමාදයක් මිස නිර්මාණයක් නොවේ. උපාංගය විශ්‍රාම ගිය විට, ශ්‍රාවකය සහ පැතිකඩ එකම වෙනසෙහි ඉවත් කරන්න, එවිට කිසිදු අඩක් ක්‍රියාත්මකව නොපවතී. මේ කිසිවක් පැරණි පරාමිතීන් ආරක්ෂිත නොකරයි, එක් උපාංගයක සීමාව සැමට පදනම වීම වළක්වයි පමණි.