Nooca TLS ee aan la oggolayn ee AnyConnect ee Linux: marka hore qeex baaxadda hagaajinta

Qaladkani wuxuu yimaadaa ka hor codsiga furaha sirta ah, taasina waa qaybta faa'iidada leh: waxba wali lama xaqiijin, markaa aqoonsiga maaha dhibaatada. Linux dhexdiisa isla AnyConnect dialog-ka wuxuu ka iman karaa nooc hore oo borotokool ah, koox isweydaarsi fure oo 1024-bit ah, ama shay ka mid ah sifaynta oo siyaasadda crypto ee nidaamka ay diiddo. Waxaan ka saaray seddex siyaabood oo kala duwan seddex mishiin, iyo waxa kala sooca xallintaas waa baaxadda saameynta, ma aha xariifnimo. Mid kastaa waa lagu difaaci karaa meesha saxda ah oo waa deegaan liita meel kasta oo kale.

Akhri fariinta ka hor intaadan taaban siyaasadda

Hayso xarafka saxda ah ee dialog-ka. Cabashada nooca waxay tilmaamaysaa lakabka borotokoolka, cabashada shahaadada waxay tilmaamaysaa kalsoonida ama magaca, iyo gelitaan guul-darro waxay tilmaamaysaa aqoonsiga. Gateway bixiya TLS 1.0 oo leh koox DHE 1024-bit, AES-256-CBC iyo saxeex SHA-1 wuxuu yeelan karaa shahaado si buuxda u ansax ah oo haddana siyaasad casri ah ay diiddo ka hor inta aan xogtaada la dirin.

Baar barta ugu dambeysa OpenSSL-ka nidaamka, adigoo isticmaalaya magaca hostka dhabta ah iyo dekedda uu macmiilku isticmaalo.

Haddii openssl s_client -connect vpn.example.com:443 -servername vpn.example.com guuldareysto halka -tls1 -cipher DEFAULT@SECLEVEL=0 guuleysto, xadka waa nooca iyo cabbirka furaha labadaba. Haddii amarka koowaad uu soo sheego fure DH yar halkii uu ka sheegi lahaa digniin borotokool, nooca waa sax oo kaliya kooxda ayaa u baahan feejignaan. Marnaba ha gelin fure gaar ah ama furaha sirta ah baaritaanka.

Xulasho 1: dabacsan hostka oo dhan iyadoo la adeegsanayo siyaasadda crypto

Fedora iyo RHEL 8 iyo 9, update-crypto-policies --set LEGACY wuxuu hoos u dhigaa siyaasadda nidaamka OpenSSL, update-crypto-policies --showna wuxuu xaqiijiyaa waxa firfircoon. Tan badanaa waxay soo celisaa tunnel-ka, laakiin siyaasadda waxaa la akhriyaa marka process-ku bilaabmo, markaa dib u bilow macmiilka iyo shaqaale kasta oo uu abuuray ka hor intaadan dib u tijaabin. Waxay kaloo u ogolaataa borotokool hore iyo kooxo daciif ah macmiil kasta oo TLS ah oo mishiinka ku jira, laga bilaabo browser-ka daaqadda xigta ilaa maareeyaha xirmooyinka ee cusboonaysiiya kernel-ka.

Ballacaas waa ujeeddada oo dhan iyo dhibaatada oo dhan. LEGACY wuxuu khuseeyaa hostka oo dhan, waa joogto oo waa sahlan tahay in la illoobo, markaa waa inuu noqdaa tallaabo baaritaan ama ka reebid la diiwaangeliyay oo ku saabsan dhismo la maareeyo, marnaba ma noqon karo xaaladda nasashada ee shaqada. Waxaan arkay mid laba sano ku sii jiray LEGACY sababtoo ah hal portal gudaha ah ayaa u baahday, qofna ma sheegi karin goortuu bilaabmay.

Debian iyo Ubuntu ma laha hal badhan oo tan. Waxa u dhiganta waa wax ka beddel /etc/ssl/openssl.cnf oo dejiya MinProtocol hoose iyo CipherString = DEFAULT@SECLEVEL=0 qaybta caadooyinka nidaamka. Isla baaxad, fayl kale, waxoogaa sahlan in laga lumiyo aragtida inta lagu jiro casriyeyn sii-deyn.

Xulasho 2: hal fayl habeyn ah hal macmiil

Habeynta OpenSSL ee process kasta waxay isbeddelka ku hayaan hal geed process, laakiin kaliya haddii faylku u xiran yahay sida maktabadda filanayso. Magaca qayb ssl_conf kuma filna: OpenSSL wuxuu akhriyaa furaha heerka sare openssl_conf, wuu raacaa ilaa qayb bilow ah, kadibna wuxuu gaaraa caadooyinka SSL.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

U jeedi OPENSSL_CONF faylkaas oo bilaab macmiilka VPN iyada oo loo marayo duubid dhoofinaysa. Wax kasta oo kale oo hostka ku jira waxay hayaan siyaasadda caadiga ah, taasina waa hantida muhiimka ah marka su'aasha u hoggaansanaantu timaado. Xaqiiji in faylku runtii shaqeynayo ka hor intaadan gateway-ga eedeyn: OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 waa inuu liis galiyo sifaynta TLS 1.0, natiijada madhanna waxay ka dhigan tahay in silsiladdu go'day oo macmiilku si aamusnaan ah u haystay caadooyinka nidaamka.

Faylku waa u nugul nooca. OpenSSL 1.1.1 iyo 3.x waxay aqbalaan isla magacyada qaybaha, laakiin maareynta tilmaamaha ku xeeran bixiyeyaasha ayaa isbeddelay 3.x, markaa ku xaqiiji log-ga macmiilka iyo gacan-qaadasho tijaabo ah halkii aad ka malayn lahayd in faylka la akhriyay. Khalad teeb-garaac ah oo ku jira magaca qaybta wuxuu ku guuldareystaa si furan, macmiilkaana si aamusnaan ah u isticmaala caadooyinka nidaamka.

Xaddidnaanta waa daboolka. Wax kasta oo ku xiran GnuTLS ama NSS waxay iska indhatiraan OPENSSL_CONF, sidoo kale process kasta oo caawiye ah oo macmiilku bilaabo isagoo aan dhaxlin deegaanka. Ku hubi ldd maktabadda TLS ee binary-ga runtii ku xiran yahay ka hor intaadan dhisin duubista, sababtoo ah jawaabtu waxay go'aaminaysaa in xulashadan jirto iyo in kale.

Xulasho 3: VM ama weel hal-mar la isticmaalo

Qandaraasle laba toddobaad ku weeraraya hal gateway duug ah, VM gaar ah oo leh siyaasad dabacsan ayaa ka nadiifsan xadka shaqada. Dusha hore iyo muuqaalka browser-ka maalinlaha ah waxay joojiyaan wadaagga siyaasadda kernel, iyo tuuristu waa tirtirid, ma aha natiijo hanti-dhawr.

Weli waa mishiin shabakad ku jira, markaa xaddid gelitaankeeda oo ka fogee baaritaanka guud. Kharashka dayactirku waa sawir kale oo loo baahan yahay in la kabo, taas oo dhab ah laakiin xaddidan oo muuqata, si ka duwan calanka LEGACY ee la illoobay oo ku yaal laptop.

Waxa barbardhiggu kuu reebayo

Ku dooro seddex su'aalood: yaa u baahan borotokoolka hore, muddo intee le'eg, iyo yaa ogaan doona haddii ka reebiddu ka badan tahay sababteeda. Hal app, hal qof, dhawr maalmood waxay tilmaamayaan habeynta process kasta. Dhammaan kooxda ka dambeeya hal qalab waxay tilmaamayaan gateway-ga laftiisa. Wax kasta oo u baahan siyaasad LEGACY joogto ah hostka waa go'aan iibsi oo qaba lebiska farsamada.

Hagaajinta waaraya waxay leedahay qalabka: TLS 1.2 ama ka cusub, koox ugu yaraan 2048-bit ah, sifayn AEAD, iyo shahaado leh saxeex casri ah. Weydii milkiilaha qalabka isbeddelkaas, kadibna ku xaqiiji nooca iyo sifaynta la wada hadlay log-ga macmiilka. Qor ka reebidda hostka, gateway-ga, borotokoolka la wada hadlay, ansixiyaha iyo taariikhda dhicitaanka, sababtoo ah qoraalkaas ayaa ka hortagaya in xal ku meel gaar ah uu noqdo caadada.