Један стари peer намеће TLS 1.0: ограничите изузетак, не host

Појави се један стари уређај, не може да се повеже, а најбржа наизглед поправка је ослабити цео хост док веза не успе. Та размена је невидљива у тренутку и трајна у пракси, јер нико не уклања праг који коначно ради. Притисак стварају две сасвим различите грешке, а само једна од њих је уопште о шифрама. Прво разврстај грешку, па стави изузетак тамо одакле не може да се прошири.

Поделите квар на два пре него што промените директиву

Линија серверског дневника о томе да нема заједничке шифре, или о неподржаној верзији протокола, долази из контролног канала: две стране нису могле да се договоре како да заштите саме преговоре. Линија клијента да ниједан метод провере серверског сертификата није омогућен долази са сасвим другог места, јер тај клијент уопште не проверава ко је одговорио. Промена шифре за податке не помаже у другом случају, а додавање провере улоге не помаже у првом.

Узмите најранију неуспелу линију са сваке стране, а не последњу пре прекида, јер је последња обично само последица. Затим утврдите коју је датотеку клијент заиста отворио: увезени профил често постоји двапут под различитим приказаним именима, а уређивање копије коју нико не чита ствара уверљиво одсуство промене. Процес који ради задржава поставке са којима је почео, па сачувана датотека није учитана датотека. Команде испод приказују преговоре клијента поред погледа сервера на исти покушај.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Други слушалац је поштено место за слабији праг

Када уређај стане на TLS 1.0 са податковним каналом пре 2.5, сервер мора понудити нижи праг контролног канала и шифру за податке коју стари клијент препознаје. Fallback директива постоји управо за тог пера, док листа шифара држи модерне клијенте на модерним скуповима. Обе директиве припадају слушаоцу, а не кориснику или вези, и ниједна опција по клијенту их касније не сужава. Зато је један стари уређај на главном порту одлука о сваком перу које дели тај порт.

Где платформа дозвољава, покрените стари слушалац као засебну инстанцу на одвојеном порту, дозволите тај порт само са адресе уређаја и оставите главну услугу на миру. Запишите зашто други слушалац постоји, у датотеци која носи његову конфигурацију, јер ће га иначе будуће чишћење прочитати као остатак. Подела вреди само ако се слабији праг завршава тамо где се уређај завршава.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Шта заправо квари стари сертификат провајдера

Грешка провере је недостајућа веза улоге: без ње клијент прихвата сваки сертификат који се ланчано веже на поуздани CA, без обзира на то да ли је издат за сервер. Прво повежите сертификат са улогом сервера и третирајте везу као захтев, а не као дугме за подешавање. Само профил који и даље не успева после тог корака има стварни проблем са сертификатом.

Стари сертификат провајдера чија величина кључа или алгоритам потписа више не задовољава подразумевану политику OpenSSL је случај за ограничену промену безбедносног нивоа на контролном каналу. Снижавање нивоа тамо не искључује проверу и никада се не сме комбиновати са празним CA, искљученом провером или непровереним именом хоста. Држите линију унутар једног профила којем је потребна; извоз ублажене OpenSSL конфигурације глобално би дао исто ублажење сваком програму на машини.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Читајте договорене вредности, не банер

На verbosity 4 обе стране исписују TLS верзију и шифру контролног канала о којима су се договориле, и шифру података за сесију. Читајте те линије, а не банер иницијализације, који извештава о успеху, а не о његовим условима. Затим поново повежите модеран клијент на главни слушалац и потврдите да и даље слеће на модеран скуп, јер се изузетак који је процурео у заједничку конфигурацију овде први види. Вредности које копирате постају основа за следећи преглед.

Тестирајте стари уређај сам: треба да се повеже и треба да буде једина сесија у дневницима која показује слабије параметре. Ако и други пер преговара стари скуп, изузетак је шири од намераваног и подела слушалаца се заправо није догодила. Забележите оба запажања, а не само закључак.

Сваком изузетку требају власник и датум

Изузетак без услова за уклањање тихо постаје подразумевани, па ставите уређај, власника, разлог и датум када нестаје поред конфигурације коју оправдава. Без те линије слабији праг надживљава хардвер којем је био потребан.

Замена клијента, или тражење актуелног профила од провајдера, исход је којем треба тежити; изузетак је одгађање, а не дизајн. Када уређај оде у пензију, уклоните слушалац и профил у истој промени, тако да ни једна половина не настави да ради. Ништа од овога не чини старе параметре безбедним, само спречава да граница једног уређаја постане основа свих.