SSTP iyo SSL 3.0: calaamadda iyo nooca la wada hadlay

Laba qof ayaa ku eegi kara isla SSTP hirgelinta oo gaari kara gabagabo iska soo horjeeda. Mid wuxuu akhriyaa dukumeentiga badeecada, wuxuu arkaa xarfaha SSL oo wuxuu u qaataa in tunnel-ku maamulo borotokool sanado ka hor la saaray. Kan kalena wuxuu tilmaamaa gacan-qabsiga casriga ah oo wuxuu yidhi su'aashu way xiran tahay. Labaduba waxay ka doodaan calaamado halkii ay ka doodaan nooca la wada hadlay, oo midkood oo keliya ayaa caddayn ah. Isbarbardhigga mudan in la sameeyo waa kan u dhexeeya waxa magacu ballan qaado iyo waxa adeeggu runtii doorto.

Laba jawaab oo su'aal keliya

Doodda calaamadda waa fududahay in la yidhi: SSTP waxaa lagu sifeeyaa borotokool tunnel amni leh oo socket-ka mara, magaca taariikhiga ah wuxuu yidhi SSL, sidaas darteed xiriirku waa inuu noqdaa SSL 3.0. Way sii socotaa sababtoo ah magacu runtii wuxuu ka yimid khatartaas iyo sababtoo ah inta badan kuwa ku celceliya weligood ma eegin gacan-qabsi. Waxay kaloo sii socotaa sababtoo ah gabagabadu waxay u dhawaaqdaa taxaddar, sida in la qaato waxa ugu xun ay tahay doorashada ammaan. In la qaato waxa ugu xun iyo in la cabbiro nooca dhabta ah waa laba hawlood oo kala duwan, oo midkood oo keliya ayaa wax beddela.

Doodda caddayntu waxay waydiisaa su'aal cidhiidhi ah. Nooca borotokoolkee ayaa macmiilkan iyo server-kan ku heshiiyeen, barta ugu dambeysa, waqtigan? Jawaabtu waxay ka timaaddaa adeegga TLS-ka dhammeeya, ma aha bog suuqgeyn ama biraawsar gaaray shabakad magac la mid ah.

Labada doodood waxay ku kala duwan yihiin waxa ay caddayn karaan. Calaamaddu ma kala garan karto hirgelin duug ah iyo mid la hagaajiyay, gacan-qabsiguna ma sheegi karo waxa adeeg aan xiriir la lahayn uu sameeyo isla martigeliyaha. Isticmaal tan labaad oo jooji isticmaalka tan kowd.

Akhri nooca ay adeeggu runtii doorato

Ku bilow magacaabista qaybaha: hirgelinta macmiilka, hirgelinta server-ka, barta ugu dambeysa ee TLS iyo wax kasta oo dhexdooda ah oo TLS-ka dhammeeya oo dib u aasaasa. Isku-dheellitirka culeyska ee TLS-ka dhammeeya oo HTTP fudud kula hadla gadaal wuxuu beddelaa qalabkee ayaad akhrinaysaa siyaasadooda.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Qor barta ugu dambeysa iyo waqtiga dhinaca natiijada, sababtoo ah isbeddel siyaasadeed oo dambe wuxuu ka dhigaa indho-indhayn aan taariikh lahayn mid aan faa'iido lahayn. Ku celi baaritaanka macmiil ku jira isla wadada shabakada ee isticmaalayaasha aad ka careysan tahay, sababtoo ah qalab dhexgal ah ayaa TLS-ka ku dhammeysan kara dejinta u gaar ah. Haddii labada mawqif aysan is waafajin, waxaad heshay qaybta muhiimka ah. Haddii ay is waafajiyaan, waxaad haysataa caddayn halkii hal-ku-dheg.

Kala sooc goobta diiwaanka iyo wada-hadalka

Lambarka nooca duug u eg oo ku jira hal goob ma aha isla xaqiiqda fadhi SSL 3.0. RFC 7568 wuxuu u arkaa nooca lakabka diiwaanka iyo borotokoolka la wada hadlay arrimo kala duwan, oo isbeddelkaas ayaa si sax ah uga soo baxa jawaabaha khaldan ee kalsoonida leh. Akhri borotokoolka la wada hadlay, ka dibna sirta, oo markaas ka dibna gaar gabagabo ku saabsan fadhiga.

Isla dukumeentigaas ayaa cad ku saabsan borotokoolka laftiisa: SSL 3.0 waa in aan la isticmaalin, wada-hadalka ama dib u noqoshada xaggiisa waa mamnuuc. Sababtu waa qaab-dhismeedka CBC ee jaban ee weerarka POODLE ka faa'iidaystay, oo taasi waa sifo borotokoolka, ma aha habaynta hal barnaamij.

Taas ayaa sabab u ah in „culayskan shaqada waa laga yaabaa inuu adag yahay in laga faa'iidaysto“ uusan ahayn dood lagu hayo SSL 3.0 oo shidan. Shuruuddu waa in borotokoolka la saaro, ma aha in lagu guuleysto dood ku saabsan hal bandhig.

Ka saar SSL 3.0 siyaasad aad difaaci karto

Windows gudihiisa dejinta borotokoolka Schannel waxay ku hoos jiraan furaha Protocols oo si gooni ah ayaa loo akhriyaa doorka macmiilka iyo server-ka, taas ayaa sabab u ah in isbeddel hagaajiya hal jiho uu kan kale taaban karo. Dejinta hadda jirta iyo shuruudaha dib u bilaabista waxaa dukumeentiyeeyay Microsoft, oo maktabad TLS dhinac saddexaad ah oo isla martigeliyaha ku sugan ayaa gabi ahaan iska indhatira.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Beddel siyaasadda iyada oo loo marayo dariiqa maamulka la taageeray, xaqiiji in adeegga milkiilaha uu dib u helo habayntiisa, oo hayso dariiq la ansixiyay oo dib loogu noqdo. Ku dhejinta script diiwaangelin ballaaran oo ka timid deegaan kale waa sida hagaajinta hal adeeg ay u noqoto hakad ku yimaadda macmiil kasta oo TLS ah oo mishiinka ku yaal. Baaxadda dib u bilaabista ayaa muhiim ah halkan: dejin u eg mid la dabaqay ayaa laga yaabaa inuu weli ku hayo xusuusta adeeg aan dib u soo rarin.

Lammaane weli dalbanaya nooc duugoobay wuxuu u baahan yahay cusboonaysiin ama qorshe guurid. Ka-reebitaan aan la diiwaangelin oo si aamusan u soo celiya borotokoolka hore ma aha istaraatijiyad waafaqid oo ma noolaan doonto hantidhawrka xiga.

Aqbal isbeddelka xiriiryo cusub

Tijaabi fadhiyo cusub ka dib isbeddelka siyaasadda, sababtoo ah xiriir la aasaasay isbeddelka ka hor waxba ma caddeeyo habaynta hadda dhaqan galay. Xaqiiji in borotokoolka loo ogol yahay uu guuleysto iyo in kan la mamnuucay uu ku guuldareysto habka xaqiijinta la oggolaaday, ka dibna ka tag aqoonsiga shahaadada iyo hubinta kalsoonida sidii ay ahaayeen.

Xusuuso waxa gacan-qabsigu aanu daboolin. SSTP waxay qaadataa xaqiijinta PPP ka dib lakabka TLS, sidaas darteed nooc borotokool casri ah waxba kama sheego isticmaalaha la oggolaaday ama khayraadka fadhigu gaari karo. Kuwaasi waa kontoroolo gooni ah oo leh caddaymo gooni ah.

Qor natiijada sida adeeg, gadaal, siyaasad la ogol yahay iyo nooc la arkay. Diiwaanka noocan ah wuxuu si sax ah uga jawaabaa su'aasha amniga, taas oo aanay marnaba samayn doodda calaamadda iyo doodda dhibka midkoodna.