Ma tahay handshake VPN oo guuldareystay runtii weerar downgrade?

Handshake ku dhamaada khalad waxay u muuqataa weerar ilaa aad fiiriso fariinta, inta badana waa xisaab: ma jiro soo jeedin la wadaago, shahaado dhacday, ama baakad aan waligeed iman. Weerarka downgrade waa shay gaar ah: col ku riixaya labada dhinac dhaqan ka liita mid ay dooran lahaayeen, wuxuuna ka tagaa caddayn kala duwan. Mar kasta oo guuldarro u qaadan xumaan waxay kaa dhigaysaa inaad raadiso dhibane laga yaabo inuusan jirin, halka downgrade dhab ah u qaadan khalad habaynta ay ka tagto natiijada liita meesheeda. Labada khalad qiimo kala duwan bay leeyihiin, mid keliya ayaa si jaban loo saxaa.

Waxa weerarka downgrade si dhab ah u beddelo

Hadafku ma aha in la jebiyo sirta ama la qiyaaso fure. Hadafku waa in saameyn lagu yeesho wada-hadalka si labada dhinac ay ugu joogsadaan nooc duug ah ama algorithm liita oo weeraryahanku qabsan karo, ama dhinac uu rumaysto in kan kale taageerayo oo keliya taas.

Waxa is beddela waa heshiiska, ma aha aqoonsiga. Haddii weeraryahanku beddeli karo soo jeedinta isagoo aan la ogaan, dhinacyadu weli way dhammayn karaan handshake oo weli way is-aqoonsan karaan, laakiin iyagoo isticmaalaya halbeegyo uu weeraryahanku doorbido. Taasi waa sababta su'aasha xiisaha leh ay tahay haddii wada-hadalka laftiisu uu hoos yimaado ilaalinta daacadnimada.

Sababta wada-hadalka laftiisu loo aqoonsanayo

TLS 1.3 wuxuu caddeeyaa ilaalintaas. Macmiil soo jeediyay nooca cusub wuu ogaan karaa server si aamusan ugu noqday gadaal, sababtoo ah qiimaha random ee serverku wuxuu qaataa qaab go'an marka uu ka wada-hadlo 1.2 ama ka hooseeya, macmiilna waa inuu joojiyo marka uu arko. Diiwaanka buuxa sidoo kale waxaa daboolaya fariimaha dhammaadka, sidaas darteed isbeddel meel kasta oo wada-hadalka ah wuu guuldareystaa mar dambe halkii uu aamusan u dhaafi lahaa.

Noocyadii hore ee borotokoolku waxay lahaayeen sheekooyin liita, taasina waa sababta qawaaniinta dib-u-noqoshada ay muhiim u yihiin. Barta TLS 1.0 isla habayntaas ma aha weerar downgrade; waa natiijo la oggolaaday oo aad adigu dooratay inaad oggolaato. Farqigu waa haddii natiijada liita ay ka timid go'aan la ilaaliyay ama waddo aan la ilaalin oo dhexdhexaadiye saameyn ku yeelan karo. Markaad sidaas u qeexdo, inta badan dhacdooyinku waxay noqdaan su'aal habayn.

IKEv2 si kale ayuu u dhaqmaa laakiin wuxuu ku tiirsan yahay fikraddaas. Soo jeedinta waxaa lagu qaadaa isdhaafsi mar dambe aqoonsada labada dhinac, sidaas darteed sanduuq dhexe oo dib u qora algorithms wuxuu jebiyaa aqoonsiga halkii uu hagayo. Kanaalka kontoroolka OpenVPN wuxuu TLS ku ilaaliyaa wada-hadalkiisa ka dibna wuxuu kanaalkaas ku heshiiyaa sirarka kanaalka xogta, taasina waa sababta xariiqda log-ga kanaalka kontoroolka ay tahay midka xiisaha leh.

Isku-dhaca la habbeeyay ma aha weerar

Maamule wuxuu si ula kac ah u oggolaan karaa doorashooyin duug ah si uu u taageero macmiil la diiwaangeliyay, go'aankaasna waa ka muuqdaa habaynta. Weeraryahan ma abuuri karo habayntaas; wuxuu kaliya ka faa'iidaysan karaa waddo u oggolaanaysa inuu saameyn ku yeesho soo jeedinta.

Dib-u-hagaajinta khatarta ah waa tan tirtirta caddaynta farqiga. Daarista ikhtiyaar kasta oo duug ah, daminta xaqiijinta shahaadada ama aqbalaadda sir kasta si khaladku u lunto waxay ballaadhisaa waxa barta dhammaadka ay aqbali doonto, waxayna tirtirtaa hubinta la soo sheegi lahayd natiijada liita.

Haddii ay tahay inaad haysato hal ikhtiyaar duug ah, sheeg sababta iyo macmiilka faallo habaynta, ka dibna ku xaddid ikhtiyaarka profile-ka u baahan. Ka-reebitaanka isku-dhaca ee ku xaddidan hal dhageyste waa la baari karaa; tan si caalami ah loo dabaqay waa kaliya caadi liita oo qofna ma xasuusto inuu doortay.

Akhri guuldarrada ka hor intaadan magacaabin sabab

Kahor isbeddel kasta, kaydi xarafka khaladka saxda ah, noocyada macmiilka iyo serverka iyo waqtiga. Kadib kala saar: dhinacyadu ma isku raacsanayn soo jeedin, waddada baakaduhu ma guuldareystay, mise dhinac ayaa diiday halbeeg uu horay u aqbali jiray?

Isku-hellaan la'aanta soo jeedinta badanaa waxay magacawdaa noocyada ama algorithms khaladka ah waxayna ku guuldareystaa isla barta mar kasta. Dhibaatada marinka ama MTU way istaagtaa ama waqtigeeda dhammaadaa, badanaana way ku kala duwan tahay shabakadda. Shahaado dhacday waxay soo saartaa khalad xaqiijin ee ma aha khalad wada-hadal.

Midkoodna ma aha caddayn weeraryahan. In guuldarradda ugu horreysa loo nisbeeyo sabab xun waa khaladka, maxaa yeelay waxay qarinaysaa cilladda go'an ee berri mar kale guuldareysan doonta.

Xaqiiji waxa si dhab ah loo doortay

Kahor wax ka beddel kasta, akhri natiijada la wada-hadlay halkii aad ku kalsoonaan lahayd in xidhiidhku soo baxay. Xidhiidhka ku guuleysta sababtoo ah xaqiijinta waa la tirtiray waa natiijada aad isku dayaysay inaad ka fogaato. Labada amarro ee hoose waxay muujinayaan nooca iyo sirta loo doortay barta TLS, iyo sidoo kale xariiqda kanaalka kontoroolka oo ka timid log-ga server OpenVPN.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

Isbarbardhig natiijada habaynta aad doonaysay, ma aha tan hadda isku xidha. Haddii nooca la doortay uu ka duug yahay ugu yaraan la oggolaaday, profile-ka ama liiska dib-u-noqoshada ayaa ah meesha la fiiriyo, jawaabtuna waa in liiskaas la saxo, ma aha in la ku dhawaaqo weerar oo dib loo dhiso wax kasta oo ku wareegsan.