Hal peer duug ah ayaa ku qasbaya TLS 1.0: xaddid ka-tagga, ma aha martiga

Hal qalab duug ah ayaa soo baxa, isku xiri kari waaya, oo hagaajinta ugu dhaqsiyaha badan ee u muuqata waa in martiga oo dhan la daciifiyo ilaa xiriirku guulaysto. Is-dhaafsigaas waa mid aan la arkin isla waqtigaas oo joogto ku ah ficil ahaan, maxaa yeelay qofna ma qaado heerka ugu hooseeya ee ugu dambayn shaqeeya. Cadaadiska waxaa abuura laba cilladood oo aad u kala duwan, oo midkoodna kaliya ayaa ku saabsan siferrada. Marka hore kala saar cilladda, ka dibna dhig ka-tagga meel uusan ku faafi karin.

Kala qaad guuldarada laba ka hor inta aadan beddelin tilmaam

Sadarka diiwaanka serverka ee ku saabsan sifer la wadaago oo maqan, ama nooca borotokool oo aan la taageerin, wuxuu ka yimaadaa kanaalka kontoroolka: labada dhinac ma ay kala qaadan karin sida loo ilaaliyo wada-xaajoodka laftiisa. Sadarka macmiilka ee sheegaya in aan la hawlgelin hab kasta oo lagu caddeeyo shahaadada serverka wuxuu ka yimaadaa meel kale gebi ahaan, maxaa yeelay macmiilkaas ma hubinayo xitaa cidda jawaabtay. Beddelka siferta xogta waxba kama tarayo kiiska labaad, iyo ku darista hubinta doorka waxba kama tarayo kiiska koowaad.

Qaado sadarka ugu horreeya ee guuldaraysan ee dhinac kasta, ma aha sadarka ugu dambeeya ka hor go'itaanka, maxaa yeelay kan dambea badanaa waa natiijo. Ka dibna go'aanso faylka uu macmiilku run ahaantii furay: profile la soo dejiyay badanaa waxa uu u jiraa laba jeer magacyo bandhig oo kala duwan, oo tafatirka nuqulka aan cidna akhrin waxa uu abuuraa isbeddel-la'aan lagu qanci karo. Habka socda waxa uu hayaa dejimaha uu ku bilaabmay, sidaas darteed fayl la kaydiyay ma aha fayl la raray. Amarraha hoose waxay muujinayaan wada-xaajoodka macmiilka oo ay weheliso aragtida serverka ee isla isku daygaas.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Dhegeysanaha labaad waa meesha daacadda ah ee heer daciif ah

Marka qalabku ku joogsado TLS 1.0 oo uu la socdo kanaal xog ah ka hor 2.5, serverku waa in uu bixiyo heer hoose oo kanaalka kontoroolka ah iyo sifer xog ah oo macmiilka duug ah uu garto. Tilmaanta fallback waxay u jirtaa si sax ah peerkaas, halka liiska siferradu uu macmiillyada casriga ah ku hayo qaybo casri ah. Labada tilmaamood waxay ka tirsan yihiin dhegeysanaha ee ma aha isticmaale ama xiriir, oo ma jiro ikhtiyaar macmiil kasta oo dambe oo iyaga cidhiidhiya. Taasi waa sababta hal qalab duug ah oo ku yaal dekedda ugu weyn uu yahay go'aan ku saabsan peer kasta oo dekeddaas wadaaga.

Meesha ay masraxa u ogolaato, ku socodsii dhegeysanaha duugga ah sidii dhacdo u gaar ah deked gaar ah, u oggolow dekeddaas kaliya cinwaanka qalabka, oo ka tag adeegga ugu weyn. Qor sababta dhegeysanaha labaad u jiro, faylka sidaha habayntiisa, haddii kale nadiifin mustaqbalka ah waxay u akhrin doontaa hadhaag. Kala qaybintu waxay qiimo leedahay kaliya haddii heerka daciifka ahi ku dhammaado meesha qalabku ku dhammaado.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Waxa ay shahaadada bixiye duug ah run ahaantii jebiso

Khaladka caddaynta waa xiriir doorka oo maqan: la'aanteed macmiilku waxa uu aqbali doonaa shahaado kasta oo ku xiran CA la aamini karo, ha ahaato mid loo soo saaray server iyo ha ahaan. Marka hore ku xir shahaadada doorka serverka, oo ula dhaqan xiriirka sida shuruud ee ma aha badhanka hagaajinta. Kaliya profile weli guuldaraysan ka dib tallaabadaas ayaa leh dhibaato shahaado dhab ah.

Shahaado bixiye duug ah oo cabbirka furaha ama algorithm saxeexu uusan hadda buuxin siyaasadda caadiga ah ee OpenSSL waa kiiska isbeddel heer amni oo xaddidan oo ku yimaada kanaalka kontoroolka. Hoos u dhigista heerka halkaas kuma damayso caddaynta, oo waa in aanay waligood lagu darin CA madhan, caddayn la damiyay ama magac marti oo aan la hubin. Ku hay sadarka gudaha isla hal profile oo u baahan; dhoofinta habaynta OpenSSL dabacsan si caalami ah waxay siin lahayd dabacsanaantaas barnaamij kasta oo ku yaal mishiinka.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Akhri qiyamka la wada xaajooday, ma aha bannerka

Marka verbosity 4, labada dhinac waxay daabacaan nooca TLS iyo siferta kanaalka kontoroolka ee ay ku heshiiyeen, iyo siferta xogta ee fadhiga. Akhri sadarradaas ma aha bannerka bilowga, kaas oo soo sheegaya guusha ma aha shuruudahaheeda. Ka dibna dib ugu xir macmiil casri ah dhegeysanaha ugu weyn oo xaqiiji in uu weli ku soo dhaco qayb casri ah, maxaa yeelay ka-tag ku soo galay habaynta la wadaago ayaa halkan marka hore muuqda. Qiyamka aad koobiyaan waxay noqdaan saldhigga dib u eegista xigta.

Tijaabi qalabka duugga ah keligiis: waa in uu isku xirmo, oo waa in uu yahay fadhiga kaliya ee diiwaannada ku muujinaya cabbirrada daciifka ah. Haddii peer labaad isna ka wada xaajoodo qaybta duugga ah, ka-taggu wuu ka ballaaran yahay sidii loogu talagalay oo kala qaybinta dhegeysanayaashu run ahaantii ma dhicin. Diiwaangeli labada aragtiba ma aha oo kaliya gunaanadka.

Ka-tag kastaa wuxuu u baahan yahay milkiile iyo taariikh

Ka-tag aan shuruud ka-qaadis lahayn si aamusan ayuu u noqdaa caadi, sidaas darteed dhig qalabka, milkiilaha, sababta iyo taariikhda uu tago agagaarka habaynta uu caddeeyo. Sadarkaas la'aanteed heerka daciifku wuu ka cimri dheeraan doonaa qalabka u baahnaa.

Beddelka macmiilka, ama weydiinta bixiye profile hadda jira, waa natiijada la higsanayo; ka-taggu waa dib u dhigis ee ma aha naqshad. Marka qalabku hawlgab noqdo, ka saar dhegeysanaha iyo profile isla isbeddelkaas si aan qaybna u sii shaqayn. Midna waxyaabahaas kama dhigayaan cabbirrada duugga ah kuwo ammaan ah, waxay kaliya ka hortagaan in xadka hal qalab uu noqdo saldhigga qof walba.