Emrat e tretjeve SHA1 në OpenSSL: çfarë do të thotë një listë e vjetër

Listat e vjetra të tretjeve lexohen si një transkript i vendimeve kriptografike, dhe nuk janë të tilla. Emra si SHA1, DSA-SHA1-old ose RSA-SHA1-2 qëndrojnë krah për krah në ndërtimet e vjetra të OpenSSL, sepse biblioteka regjistroi disa pika hyrjeje rreth makinerisë së hash-it të lidhur. Një etiketë RSA ose DSA në atë listë OpenVPN nuk thotë asgjë për atë që OpenVPN bëri me një paketë. Ajo që po lexoni është inventari i bibliotekës, jo regjistri i një sesioni.

Tri gjëra duhet të ndahen përpara se çdo përfundim të ketë kuptim: emri i regjistruar, llogaritja e tretjes nën të dhe operacioni që e konsumon.

Regjistrimi është një ndërfaqe, jo një vlerësim force

Në OpenSSL 1.0.2 tabela e regjistrimit të tretjeve lidh emra, aliase dhe zbatime në një skedar të vetëm. Përshkruesi i vjetër DSS1 është rasti më i qartë: raporton gjatësinë e daljes së SHA-1 dhe thërret rutinën e përfundimit të SHA-1 ndërsa mban një emër që sugjeron një algoritëm krejt tjetër. Prandaj shkronjat shtesë në një regjistrim nuk nënkuptojnë një hash tjetër, një dalje më të gjatë apo një nivel të ri sigurie.

I njëjti burim ruan marrëdhëniet e aliaseve për thirrësit më të vjetër, gjë që shpjegon pse një listë duket e mbushur. Kjo është dokumentacion përputhshmërie, jo një premtim se një ofrues aktual i OpenSSL shfaq emra identikë.

Emrat e nënshkrimit nuk krijojnë nënshkrime

Një kuadër nënshkrimi mund të lidhë një tretje me ndërfaqen e një algoritmi tjetër, në mënyrë që thirrësit ekzistues të vazhdojnë të kompilojnë. Një nënshkrim i vërtetë me çelës publik kërkon si çelësin ashtu edhe hapin e nënshkrimit që e përdor atë, dhe asnjëra prej tyre nuk ofrohet nga një emër në një menu. Një zë tretjeje me shije RSA është një emër që thirrësi mund të përdorë, jo provë se çdo paketë VPN mbante një nënshkrim RSA.

Pikërisht në këtë hap shkrimet më të vjetra rrëshqasin në folklor. Nëse duhet të dini se si u vërtetuan paketat, gjeni opsionin që zgjodhi mekanizmin dhe lexoni çfarë bën ai në versionin që ekzekutoni vërtet. Faqja e manualit e dorëzuar me atë version është përshkrimi i vetëm që përputhet me programin përpara jush. Udhëzuesit e arkivuar përshkruajnë versionin për të cilin u shkruan, dhe ai mund të mbetet disa konvencione emërtimi prapa.

Gjeni opsionin që konsumoi emrin

Në rastin e vërtetimit të paketave të dokumentuar nga OpenVPN 2.6, auth zgjedh një tretje të përdorur nga HMAC, një konstruksion vërtetimi mesazhesh me çelës dhe jo një nënshkrim certifikate. Algoritmi i nënshkrimit të certifikatës TLS është një veti e veçantë e shtrëngimit të duarve.

Me një shifër të dhënash AEAD, cilësimi i veçantë auth ndalon së zbatuari për kanalin e të dhënave, ndërsa roli i tij për tls-auth mbetet një pyetje e veçantë. Prandaj një listë tretjesh nuk mund t'ju thotë cili hash mbrojti paketat aktuale, cili grup TLS u negociua ose si u nënshkrua certifikata e palës tjetër. Vetëm konfigurimi efektiv plus versioni mund t'u përgjigjet këtyre, dhe vetëm për lidhjen përpara jush.

Shkruani çfarë keni në të vërtetë

Shkruani versionin e OpenVPN, bibliotekën kriptografike të lidhur, opsionet e sakta në profil dhe rezultatin e një lidhjeje reale. Ky grup u përgjigjet pyetjeve që një pamje ekrani e një menuje tretjesh nuk mundet, dhe i mbijeton përditësimit të radhës sepse emërton versione dhe jo përshtypje.

Mbi të gjitha, mos zgjidhni një alias të vjetër sepse emri i tij tingëllon më i fortë ose më i veçantë. Zgjidhni politikën e mbështetur për të gjithë lidhjen dhe trajtoni emrat e vjetër si një regjistrim se si një bibliotekë paraqitej dikur.