Koox DH la wadaago, sirro cusub: sababta weerarku u noqdo mid raqiis ah

Halbeegyada kooxda waa mid dadwayne marka la eego nashqada, oo isla dadwaynaantaas ayaa ka dhigta mid sahlan in la iska indhatiro. Diffie-Hellman goob xaddidan, moduluska iyo soo-saareha waa la wadaagaa, halka jibbaarada gaarka ah iyo furayaasha fadhiga ee ka soo baxa aan la wadaagin. Marxaladda qaalisan ee weerarka shaandhada goobta tirooyinka waxay ku xiran tahay kooxda halkii ay ku xirnaan lahayd hal isweydaarsi, sidaas darteed hal koox daciif ah oo meel walba la isticmaalo waxay noqotaa mas'uuliyad la wadaago. In halbeegyada loo yiraahdo dadwayne waa sax oo aan mawduuca ku habboonayn, sababtoo ah kharashka dib loo isticmaalo waa kharashka weerarka kooxdaas.

Qaybta dadwaynuhu ma aha qaybta nugul, oo dabinna halkaas ayay ku jirtaa

Doodda badhkeed ee caadiga ah waxay leedahay halbeegyada waxaa lagu daabacay halbeeg, sidaas darteed weeraryahan hore ayuu u yaqaan oo qarintoodu waxba ma beddeli lahayd. Labada hadalba waa run, midna midka kale kama soo baxdo. Kooxda caadiga ah ee la diraa waa dadwayne, kooxda gaarka ah ee toddobaadkii hore sameysayna waa mid la arki karo qof kasta oo dhammaystira gacan-qaadista. Qarsoodigu waligiis ma ahayn xakamaynta; xoogga iyo xaqiijinta ayaa xakamayn.

Waxa isbeddela waa inta goobood ee wadaaga daciifnimo isku mid ah. Hal hay'ad oo samaysata kooxdeeda 2048-bit waxay bixisaa kharashkeeda weerarka, halka halbeegga caadiga ah ee malaayiin qof doortaan uu hal kharash ku qaybsado dhammaantood. Macnahaas, koox aan caadi ahayn si toos ah ma wanaagsana. Koox aan caadi ahayn oo aad u yar waa uun sir la wadaago oo yar oo indho yar ku eegaan.

Xaqiijintu waxay la mid tahay muhiimadda cabbirka. Saaxiib dira modulus leh arrimo yaryar, ama mid aan lahayn qaabka borotokoolku filayo, wuxuu daadin karaa macluumaad ku saabsan jibbaarka gaarka ah xitaa marka dhererka bit uu u muuqdo mid sharaf leh. Maktabadaha diida halbeegyada qaldan marka horeba waxay qabtaan shaqo dhab ah, sidaas darteed falanqaynta halbeegyada gacanta lagu qoray waa meel xun oo lagu badbaadiyo dadaalka.

Waxa xisaabinta hore si dhab ah u siiso weeraryahan

Shaandhada goobta tirooyinku waxay leedahay marxalad ku xiran oo kaliya tirada koowaad, natiijadeedana dib ayaa loo isticmaali karaa ka-hortagga isweydaarsi kasta oo isticmaala tiradaas koowaad. Taasi waa habka oo dhan ee ka dambeeya walaaca taariikhiga ah: qaybta qaalisan hal mar ayaa la bixiyaa, kharashka xadidan ee fadhi kasta oo xigaana wuu yaraadaa. Jibbaaro cusub weli waxay ka ilaaliyaan isweydaarsi kasta oo gaar ah indho-adeeg qaabkii aan firfircoonayn, ilaa kooxdu u weynaato si shaandhadu u noqoto mid aan macquul ahayn. Labada hadal way is waafaqaan, doodaha badankood ee mawduucan waxay ka yimaadaan in mid la doorto oo midka kale la tuuro.

Qoraalka Logjam ee 2015 wuxuu muujiyay hoos u dhigid loo marayo Diffie-Hellman 512-bit oo heer dhoofin ah wuxuuna qiyaasay kharashka weerar lagu qaado kooxo waaweyn oo si ballaaran dib loo isticmaalo iyadoo la adeegsanayo kheyraad la taaban karo. Bandhigu wuu caddayd, qiyaasuhu qiyaas bay ahaayeen, midna ma ahayn caddayn in fadhi VPN gaar ah la fur-furay.

Qoraalka u soo xigasho habka iyo hoos u dhigista la muujiyay, ma aha cabbirka daabacaaddaada. Tirakoobkii hore ee ku saabsan inta server ee wadaagay koox caadi ah waxay qeexayaan internetka sanadkaas, ma aha shabakad aad maanta baari karto. Waxa mudan in la qaato waa su'aasha: ma ayaa qalabkaagu wali gorgortama koox yar ama xaqiijin daciif ah?

Halbeegaysan ma aha isku mid sida daciif

RFC 7919 waxay qeexaysaa kooxo goob xaddidan oo magac leh si labada daraf ay ugu heshiiyaan koox aqoonsi ahaan oo ay ku dhaqmaan siyaasad isku mid ah. Halbeegaysan ahaanshuhu waa faa'iido, sababtoo ah wuxuu meesha ka saarayaa madmadowga gorgortanka oo wuxuu u oggolaanayaa fulinta inuu diido cabbirro aan la taageerin. Koox magac leh waxay daciif tahay oo kaliya marka cabbirkeedu ka hooseeyo siyaasadda aad sheegto inaad raacdo, ma aha sababtoo ah waxay ku qoran tahay dukumeenti. Isla caqligaas waxay khusaysaa kooxaha qalooca elliptic, kuwaas oo leh qaab-dhismeed iyo habab guuldarro oo kala duwan.

Markaad ka fikirtid iyaga, qaab-dhismayaasha gaar u hayso. Gabagabo ku saabsan Diffie-Hellman goob xaddidan waxba kama sheegto X25519, gabagabona ku saabsan koox MODP 1024-bit waxba kama sheegto mid 3072-bit. Siyaasadda xooggu waa mid ku xiran habka, cabbirka iyo nooca borotokoolka, sidaas darteed weedha kriptografi xoog leh ma aha hadal dib loo eegi karo.

Xaqiijinta aqoonsigu waa qaybta kale, oo ma beddelto. Koox xoog leh oo aan lahayn xaqiijinta saaxiibka waxay weeraryahanka dhexda ku reebtaa, shahaadana ma badbaadin karto isweydaarsi 768-bit. U eeg laba xariiq oo madaxbannaan, ka dibna xaqiiji in labadaba si dhab ah loo gorgortamay.

Akhri kooxda la gorgortamay xiriir dhab ah

Kooxda la gorgortamay ka akhri qalabka, ma aha qaabka habaynta. Qaababku waxay qeexaan ujeeddo, qiimaha xiisaha lehna waa kii labada daraf ku heshiiyeen gacan-qaadistii ugu dambaysay. IPsec darafkeeda soo-saarka xaaladdu caadi ahaan wuxuu daabacaa soo-jeedinta la doortay, oo ay ku jirto kooxda MODP.

Xariiqdaas qabso ka hor iyo ka dib isbeddelka siyaasadda, labadana ku hay diiwaanka isbeddelka. Isbarbardhiggu waa caddaynta.

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

Haddii isbeddelka ka dib xaaladdu wali muujiso kooxdii hore, xiriirku dib ugama gorgortamin oo habaynta waxba ma cadeyn. Dib u bilow saaxiibka ama tirtir ururka amniga, ka dibna xaaladda mar kale akhri. Siyaasad lagu dhaqmo oo kaliya xiriirada cusub waxay tunnellada muddada dheer ku reebi doontaa halbeegyadii hore inta ay taagan yihiin.

Kooxda iyo aqoonsiga saaxiibka gaar u hubi

Kala sooc waxa kooxdu ilaaliso iyo cidda ku jirta darafka kale. Diiwaangeli habka beddelka furayaasha, cabbirka kooxda iyo habka xaqiijinta sida saddex goob, sababtoo ah si madaxbannaan ayay u fashilmaan. Tunnellada gorgortamay koox 3072-bit laakiin aqbala shahaado kasta ma aha khatarta la mid ah tan saaxiibka dhejisa oo isticmaala koox 2048-bit.

Qor halbeegyada aqbalidda ka hor inta aan dib-u-eegistu bilaaban, si natiijadu u noqoto isbarbardhig halkii ay ahaan lahayd aragti. Cabbirka ugu yar ee kooxda nooc kasta oo borotokool ah, liiska fasaxa kooxaha magac leh iyo xaqiijinta qasabka ah ee saaxiibka ayaa ku filan in go'aanku noqdo mid makaanik ah. Madmadowga liiskaas ayaa dib-u-eegista u beddela dood, dooddana lama hagaajiyo. Markaas soo-saarku waa liis dhibco-dhamaad ah oo ku guuldareysta qaanuun la sheegay.

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

Wareegga ku xidh inaad dib u akhrido qiimayaasha la gorgortamay ka dib hagaajinta. Faylka habaynta ee waafaqsan ma aha caddayn in tunnelladu qaadatay. Soo-saarka xaaladda iyo hal gacan-qaadis cusub ayaa caddayn, ururintooduna waxay qaadataa waqti ka yar shirkii ku saabsanaa haddii loo baahan yahay.