SECLEVEL=0 wuxuu daaweeyaa calaamadda, ma aha shahaadada

Xiriirka OpenVPN wuu fashilmaa, qof wuxuu helaa sixid hal saf ah oo ku daraya SECLEVEL=0, tunnelkuna wuu soo baxaa. Waxa isbeddelay ma ahayn shahaadada iyo ma aha xirmada sifaynta; xad-qaadasho heer maktabad ayaa dhaqaaqay, wax walbana oo hawshu samayso ka dib waxay dhaxashaa xadka cusub. Taasi waa mid qiimo leh in la fahmo ka hor inta aan la koobiyrin isla safkaas ee profile kasta oo deegaanka ah.

Go'aanso maktabadda kee iyo siyaasadda kee ayaa socota

SECLEVEL waa fikrad OpenSSL, marka su'aasha koowaad waa haddii dhismahaagu isticmaalo OpenSSL. OpenVPN waxaa lagu xiri karaa in ka badan hal maktabad crypto, iyo dejinta ku khusaysa mid ka mid ah wax macne ah kuma laha kuwa kale. Weydii binary-ga waxa lagu dhisay, ka dib weydii maktabadda nooca iyo qaabeynta ay soo rartay:

openvpn --version | head -3
openssl version -a

Akhri soo-saarista nooca si taxadar leh, sababtoo ah qaybinta waxay beddelaan qiimaha caadiga ah. Qaar waxay keenaan qaabeyn nidaam oo kor u qaada heerka ugu hooseeya ee ka sarreeya caadiga upstream, sababtaas awgeed isla profile-ka wuxuu u dhaqmaa si kala duwan laba mishiin oo leh xirmooyin OpenVPN isku mid ah. Siyaasadda wax-ku-oolka ah waa tan ay soo rartay hawsha socota, ma aha tan ku jirta buugga upstream.

Ka dib kala saar labada lakab ee dadku isku qaldaan. OpenVPN waxay leedahay kontoroolkeeda TLS, oo ay ku jiraan dejinta profile shahaado iyo liisaska sifaynta cad, waxayna ka sarreeyaan wax kasta oo maktabaddu ku qasabto. Hoos u dhigista heerka maktabadda ma beddesho sifaynta ay liis-gareeyso qaabeynta OpenVPN, iyo cidhiidhinta liiska OpenVPN ma kordhiso xadka maktabadda. Ogaanshaha lakabka kee ayaa ku diiday ayaa ka hortagaya in sixiddu qiyaas ahaato.

Kala saar saddexda shay ee la diidi karo

Mushtarqa koowaad waa walxaha aqoonsiga: shahaado furaheeda aad u yar ama algorithm saxeedkeeda aan siyaasaddu mar dambe aqbalin. Kan labaad waa halbeegga is-dhaafsiga furaha, sida koox ay siyaasaddu u aragto mid aad u liita. Kan saddexaad waa xirmo sifayn oo siyaasaddu ka reebto. Saddexdu waxay sababi karaan guuldarro is-gacan-qabsasho, waxaana kala sooca kaliya qoraalka khaladka iyo heerka wada-hadalka.

Midkoodna saddexdan ma aha sifaynta kanaalka xogta. OpenVPN waxay ka wada-hadashaa sifaynta tunnelkeeda si ka duwan is-gacan-qabsasho TLS, marka xiriirka guulaysta ka dib isbeddel heer ammaan wax wax kama sheegayo sifaynta kee ayaa ilaalinaysa xogtaada. Haddii su'aasha aad runtii weydiineyso ay tahay sirta xogta, waxaad eegaysaa badhanka gebi ahaan qaldan.

Hoos u dhigista heerka waxay ballaarisaa aqbalaadda saddexda gelin isku mar. Tani waa qaybta dadku seegaan: sixidda aqbashada shahaado duug ah waxay kaloo aqbashaa koox liita iyo xirmo aadan ujeeddo lahayn inaad fasaxdo. Khalad keliya ayaa kiciyay isbeddelka, isbeddelkuna wuu ka ballaaran yahay khaladka. Isku-dheellitirnaantaas waa sababta ka-bixin xaddidan ay ka wanaagsan tahay caadiga deegaanka oo dhan.

Beddel gelinta, ma aha xadka

Kaydi khaladka saxda ah ka hor inta aanad taaban qaabeynta, oo ay ku jiraan heerka soo sheegay iyo shayga uu magacaabay. Dhibaatada shahaadada waxaa lagu xalliyaa iyadoo shahaadada lagu beddelo wax siyaasadda hadda aqbasho, taas oo caadi ahaan micnaheedu yahay in laga soo saaro hay'adda halkii la dib u rakibi lahaa isla faylka.

Haddii gelinta la diiday ay leedahay lammaane aadan kontoroolin, wada-hadalku wuxuu la yahay mulkiilaha lammaanahaas oo ku saabsan walxo beddel oo la taageeray. Hoos u dhigista xadkaaga si aad u martigeliso nidaam aan cidna dayactirin waxay kharashka ka rartaa iyaga oo u guurtaa dhammaan kuwa ka dambeeya.

Meesha ay server-ku ku dhaqangeliso siyaasadda, hubi in dejinta heer OpenVPN ay tahay sababta dhabta ah ka hor inta aanad maktabadda eedayn. Profile shahaado oo dalbanaya fasal ka adag tan shahaadada la geyn karo ay buuxin karto wuu fashilmi doonaa heerka amniga ha ahaado mid kasta, iyo in profile-kaas la saaro waa isbeddel ka cidhiidhi ah in la damiyo hubinta maktabadda.

Haddii ay tahay inaad hoos u dhigto, xaddid oo diiwaan geli

Mararka qaarkood ka-bixin is-waafajin la ansixiyay ayaa ah jawaabta saxda ah, gaar ahaan lammaane duug ah oo leh qorshe hawlgab taariikh leh. Ku xaddid adeegga u baahan halkii hostka oo dhan: fayl qaabeyn adeeg gaar ah ama qaabeyn OpenSSL u gooni ah ayaa leh saameyn yar oo ka yar dhoofinta profile caalamiga ah.

La qor afar shay oo la socda ka-bixinta: dejinta saxda ah, mulkiilaha ansixiyay, macaamiisha saameysan, iyo shardiga laga saarayo. Ka-bixin aan lahayn shardi hawlgab waa daciifnimo joogto ah oo leh cudurdaar ku-meel-gaar ah oo ku lifaaqan.

Dib-u-noqoshada waa in ay tahay hal tallaabo oo aad hore u tijaabisay. Kaydi qaabeynta hore, ku dhaqan geli isbeddelka, xaqiiji in adeeggu bilaabmo, oo si sax ah u ogow faylka la soo celinayo haddii xiriirka xiga uu u dhaqmo si ka duwan filashada.

Ka dib xaqiiji aqoonsiga iyo ilaalinta

Xiriir guulaysta wuxuu caddeeyaa kaliya in shuruudaha dib-u-eegista lagu sameeyay ay aqbaleen. Xaqiiji in hubinta magaca hostka iyo lammaanaha ay weli shaqadeeda qabanayso, in shahaadada la isticmaalayo ay tahay tii aad ujeeddo lahayd inaad geyso, iyo in kanaalka xogta la wada-hadlay uu waafaqsan yahay siyaasadda aad u malaynayso inaad haysato.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Tixraaca heerarka amniga OpenSSL wuxuu si cad u sheegayaa in qaab-dhismeedku ku dhaqangeliyo xaddidaadyo furayaasha, saxeexyada, kooxaha iyo xirmooyinka si wadajir ah, iyo in heerka eber uu fasaxo wax kasta oo dib-u-wicitaanku hubiyo. Taasi waa baaxadda waxa aad beddeshay, waana jumlada la soo xigtay marka qof weydiiyo haddii sixiddu cidhiidhi ahayd.

Wareejinta ka badbaadda baaritaanka waxay sheegaysaa siyaasadda kee ayaa diiday gelinta kee, waxa la beddelay, iyo waxa weli la aqbalo natiijadaas. „Waxay la shaqaysaa SECLEVEL=0“ waa indho-indheyn ku saabsan hal xiriir, ma aha qiimeyn amni oo ku saabsan geynta.