Gabim i shifrimit TLS në OpenVPN: krahasoni së pari të dy skajet

Një gabim „asnjë shifrim i përbashkët“ tingëllon si një cilësim që duhet ndryshuar, dhe cilësimi që ndryshojnë shumica është i gabuari. OpenVPN mban politika të ndara për kanalin e kontrollit që kryen shtrëngimin e duarve TLS dhe për kanalin e të dhënave që transporton paketa brenda tunelit, dhe gabimi emërton të parin ndërsa njerëzit redaktojnë të dytin. Krahasimi i asaj që lejon secila anë, në rendin e duhur, e kthen hamendësimin në dy ose tre vendime: versioni, pastaj lista e suite-ve, pastaj kredencialet.

Nëse e gaboni këtë rend, mund të humbni një orë duke shtuar një emër AES në një listë që nuk u konsultua kurrë.

Dy lista shifrimi, dhe vetëm njëra e prish shtrëngimin e duarve

Kanali i kontrollit negocion një sesion TLS, dhe politika e tij shkruhet me tls-cipher për TLS 1.2 dhe tls-ciphersuites për TLS 1.3. Kanali i të dhënave konfigurohet veçmas me data-ciphers, ku mospërputhja prodhon një lidhje që vendoset dhe pastaj nuk arrin të kalojë trafikun. Të dyja prodhojnë gabime që përmendin shifrime, prandaj ngatërrohen. Një shtrëngim duarsh që nuk përfundon kurrë tregon kanalin e kontrollit, ndërsa një tunel i vendosur që hedh paketa tregon kanalin e të dhënave.

Lexoni mesazhin e plotë, jo rreshtin e parë. Një mospërputhje versioni, një suite që mungon, një algoritëm nënshkrimi certifikate që pala e refuzon dhe një dështim i verifikimit të emrit të hostit përfundojnë të gjitha në një gabim TLS, dhe vetëm njëri prej tyre ka të bëjë me listën tuaj të suite-ve. Ndarja e këtyre kategorive është pjesa më e madhe e diagnozës.

Krahasoni versionet përpara se të krahasoni suite-t

Një palë e kufizuar në TLS 1.2 dhe një palë që kërkon 1.3 nuk ndajnë asnjë version, dhe asnjë varg shifrimi nuk e lidh këtë. Shënoni tls-version-min dhe tls-version-max në të dyja anët, ose vlerat e paracaktuara të ndërtimeve në përdorim, sepse politika OpenSSL e një shpërndarjeje mund të ngrejë kufirin e poshtëm pa e thënë asnjë opsion i OpenVPN. Nëse njëra anë është pajisje ose klient i palës së tretë, dritarja e tij është ajo që lejon firmware-i. Krahasimi i suite-ve ka kuptim vetëm pasi dritaret mbivendosen.

Ato shënime duhet të emërtojnë edhe binaret e vërtetë. Një openvpn në rreshtin e komandës në laptopin tuaj nuk është domosdoshmërisht klienti që trajton një profil të importuar.

Listat TLS 1.2 dhe TLS 1.3 nuk përzihen

Emrat e suite-ve TLS 1.2 duken si ECDHE-RSA-AES256-GCM-SHA384 dhe i përkasin tls-cipher, i cili pranon një varg shifrimi OpenSSL. Suite-t TLS 1.3 quhen si TLS_AES_256_GCM_SHA384 dhe i përkasin tls-ciphersuites; shtimi i njërës në vargun 1.2 nuk e konfiguron listën 1.3, dhe analizuesi mund ta pranojë tekstin pa e përputhur kurrë. Një filtër i saktë për një version nuk thotë asgjë për tjetrin. Shënoni për cilin version është secila listë.

openvpn --show-tls shtyp atë që mbështet ndërtimi lokal, dhe ky është inventar, jo premtim: pala e largët mund të mos i lejojë ato suite, dhe profili aktiv mund të mos i aktivizojë. Përdoreni për të përjashtuar një ndërtim që nuk mund të ofrojë fare suite, pastaj krahasoni listat e konfiguruara.

Provoni negocimin në një lidhje të re

Një shtrëngim duarsh i suksesshëm është prova e vetme që llogaritet, dhe duhet të vijë nga klienti i vërtetë me profilin e vërtetë. Rritni nivelin e detajeve të serverit, lidhuni një herë dhe lexoni nga regjistri versionin e protokollit dhe suite-n e negociuar, në vend që të supozoni se fitoi vlera e parë e ofruar. Pastaj konfirmoni veçmas kanalin e të dhënave me trafik përmes tunelit, sepse një shtrëngim duarsh që funksionon dhe një kanal i të dhënave që dështon janë riparime të ndryshme. Përsëriteni pas çdo ndryshimi konfigurimi, sepse një profil klienti i vjetëruar është një rast i zakonshëm negativ i rremë.

Nëse nuk ekziston një konfigurim i përbashkët i miratuar, përgjigjja është një përmirësim ose një plan migrimi, jo një politikë e dobësuar. Ulja e tls-version-min, çaktivizimi i verifikimit ose aktivizimi i të gjitha suite-ve të vjetra e heq refuzimin pa përmbushur kërkesën e sigurisë që e prodhoi.

Shënoni versionin e negociuar, suite-n dhe shifrimin e të dhënave në biletën e ndryshimit. Personi i ardhshëm që ndeshet me një gabim TLS do të nisë nga ai shënim dhe jo nga një varg shifrimi i gjetur në një postim forumi.