ca md too weak: dib u soo saar shahaadada ama hoos u dhig heerka?

OpenVPN macmiil bishii hore shaqeynayay hadda billowga ku guuldareysta ca md too weak, profile-ka diskana waa byte byte la mid kii shaqeynayay. Farriintu waxay ku saabsan tahay saxeexa shahaadada hay'adda shahaadada, ma aha cipher-ka xogta, auth digest ama password-ka akoonka. Saddex shuruud ayaa go'aaminaya in xalku yahay agab aqoonsi cusub, silsilad cusub, ama isbeddel siyaasadeed oo ula kac ah. U samee si kala horreysan, oo waxaad ka fogaaneysaa natiijada caadiga ah ee tunelka ku soo noqda iyadoo la daciifinayo xiriir kasta TLS ee martigeliyaha.

Waxa khaladaadku dhab ahaan sheegayo

OpenSSL wuxuu kor u qaadaa khaladkan xaqiijinta inta uu dhisayo silsilad, marka shahaadada u shaqeysa sidii CA ay qaado digest saxeex oo heerka amniga maktabadda aanu mar dambe aqbalin. MD5 waa la diidaa heerka caadiga ah, SHA-1-na waa la diidaa marka heerka la kordhiyo. Digest-ka shahaadada caleenta halkan wuu ka muhiimsan yahay digest-ka soo-saareha saxeexa. Isla siyaasaddaas waxay diidi kartaa xidid maalintii la soo saaray si caadi ah u ahaa.

Taas ayaa sabab u ah in tafatirka auth ama data-ciphers aanu waxba u qaban guuldarradan. Dejintaas waxay maamushaa sida baakadaha loo ilaaliyo gacan-qabsiga ka dib, halka shayga la diiday uu yahay dukumeenti aqoonsi oo la baaro ka hor inta aanu tunel jirin. Shahaadadu waxay si raaxo leh ku fadhiisan kartaa gudaha waqtigeeda ansaxnimada oo ay weli qaadi kartaa saxeex aan maktabaddu aqbalin.

Kala sooc baaritaannada maskaxdaada gudahaheeda oo khaladku wuu joojinayaa inuu u muuqdo qarsoodi. Taariikhaha ansaxnimada, isticmaalka fure iyo digest-ka saxeexa waa imtixaanno madax banaan, oo mid ka mid ah ayaa hadda guuldareystay.

Shuruudda kowaad: shayga la diiday ma yahay xididka?

Daabac shahaad kasta oo profile-ka ku jira oo akhri goobaha subject iyo issuer. Xididka is-saxeexay labadaba wuxuu muujiyaa qiime isku mid ah, algoritmka saxeexana waa kan silsiladda oo dhan ku tiirsan tahay. Marka digest daciifka ah uu halkaas joogo, caleen kasta oo ka hooseeya ayaa dhaxlata dhibaatada. Ku qor algoritmka subject agtiisa si isbarbardhigga dambe u noqdo mid farsamo ah oo aan xusuus ka iman.

Faylalka CA ee la isku daray badanaa waxay leeyihiin dhowr block, sidaas darteed aqoonso block-ka dhab ahaan la raro halkii aad u qaadan lahayd in kan kowaad uu dembi leh yahay. Amarku openssl x509 -in ca.pem -noout -subject -issuer -text wuxuu sharraxaa hal shahaado markiiba, taas oo macnaheedu yahay in bundle-ka marka hore la kala qaybiyo haddii uu ka badan yahay mid. Isbarbardhig algoritmka saxeexa ee la daabacay iyo digest-ka aad ka filan lahayd waagii xididka la abuuray.

Caleen lagu saxeexay SHA-256 oo hoos timaada xidid daciif ah wali way guuldareystaa, sababtoo ah hubinta silsiladdu waxay tagtaa ilaa sare. Habkaas ayaa shuruudda xigta muhiim ka dhigaya.

Shuruudda labaad: ma maamushaa soo-saareha?

Haddii xididku ka tirsan yahay hay'addaada, xalka waara waa xidid cusub oo leh digest casri ah iyo caleemo dib loo soo saaray, oo la keeno hal cusboonaysiin profile. Taasi waxay u baahan tahay daaqad dayactir iyo qorshe qalabka aan cusboonaysiinta isla maalintaas qaadan karin.

Haddii dhinac saddexaad soo saaray silsiladda, xalku waa codsi loo dirayo hawlwadeenkaas, tallaabada gudaha ee keliya ee faa'iido lehna waa in la joojiyo ku-tiirsanaanta agabka hore. Tafatirka qoraalka PEM ama faylka dib u kaydinta waxba kama beddelo waxa saxeexu daboolayo.

Hal xaalad dhexdhexaad ah ayaa mudan magac: xidid gudaha ah oo ka duqsan caadiyada hadda jira laakiin wali saxeexa agab ay nidaamyada kale aamminaan. Beddelkiisu waxay la macne tahay in la baaro macaamiil kasta, oo ay ku jiraan qalabka shahaadada hore ku dhejiya faraha. Tirso macaamiishaas ka hor inta aadan qorsheyn isbeddelka, sababtoo ah beddelka xididka oo mid ka boodo wuxuu khaladka billowga ku beddelaa xannibaad.

Shuruudda saddexaad: maxaa kale oo hoos u dhigista heerka aqbalo

Hoos u dhigista heerka amniga, ama doorashada profile-ka shahaadada hore ee OpenVPN, waxay ka dhigtaa macmiilka inuu mar kale aqbalo digest-kii hore. Waxay sidoo kale dabcisaa baaritaanno kale oo isla maktabaddaas ku jira, xiriir kasta oo hawshaas samayso.

Taasi waxay noqon kartaa mid la difaaci karo shaybaadhka, ama buundo gaaban inta agab beddelka la diyaarinayo, haddii ka-reexitaanku ku koobnaado hal profile oo uu leeyahay taariikh dhammaad. Dejin joogto ah oo ku taal martigeliye la wadaago, si aamusnaan ah ayay u ballaadhisaa waxa macmiil kasta TLS ee halkaas jooga uu aammini doono.

Ku qor ka-reexitaanka isla milkiile iyo tallaabo ka-qaadis. Isbeddel heer oo aan la diiwaangelin lama kala garto khalad lix bilood ka dib, injineerka xigana ma ogaan doono inuu waligiis go'aan ahaa.

Go'aanka, oo loo qoray sida qaanuun

Beddel silsiladda marka aad maamusho soo-saareha oo aad tirin karto macaamiishiisa. U kordhi soo-saareha marka aadan maamulin. Hoos u dhig heerka kaliya sida ka-reexitaan taariikh iyo xad leh oo beddelka horey loo qorsheeyay. Wax kasta oo kale waxay ka tagaan isla shahaadadaas meesheeda oo khatarta u rartaa meel aan sidaas u muuqan.

Dabadeed mar kale ka tijaabi profile-ka macmiil nadiif ah, xaqiiji in gacan-qabsigu dhammaado, oo haddii uu wali guuldareysto kaydi qoraalka diidmada ee saxda ah. Farriin khalad oo sax ah waa shayga ugu jaban ee aad siin karto milkiilaha lakabka xiga.