AES-256-GCM haipatikani: uwezo wa mteja au mazungumzo?

Wasifu wa OpenVPN unaofanya kazi mahali pengine unaripoti kwamba AES-256-GCM haipatikani, au kwamba pande hazishiriki sifa yoyote ya kawaida, na mwendo wa kwanza ni kuhariri wasifu. Haba ujumbe mbili zinaelezea hitilafu tofauti. Moja inasema programu ya ndani haina algoriti hiyo; nyingine inasema pande zote zina algoriti lakini hakuna chaguo la pamoja. Kuhariri wasifu hakutatui yoyote hadi ujue unayo ipi.

Soma maandishi kamili ya hitilafu na programu iliyoizalisha.

Bainisha hitilafu uliyonayo

Ujumbe kuhusu sifa isiyopatikana unatoka kwenye uchanganuzi wa chaguo kwenye mashine ya ndani, kabla ya pakiti yoyote kutumwa. Inamaanisha faili tekelezwa lililo mbele yako, au maktaba inayounganishwa nayo, haitoi algoriti hiyo. Ujumbe kuhusu kukosekana kwa sifa ya pamoja unakuja baadaye, wakati wa mazungumzo, na unamaanisha pande zote zinaunga mkono sifa lakini haziwezi kukubaliana moja.

Tofauti ni muhimu kwa sababu moja ni tatizo la toleo la programu na nyingine ni tatizo la usanidi. La kwanza huamuliwa na namba ya toleo. La pili huamuliwa kwa kulinganisha orodha mbili.

Upungufu wa uwezo wa ndani

Matoleo ya zamani ya jumuiya ni ya kabla ya chaguo-msingi za kisasa, na programu ya kompyuta ya mezani inaweza kuleta injini yake tofauti na kifurushi cha mstari wa amri kilichosakinishwa kando. Fanya ukaguzi kwenye faili tekelezwa lililoanza muunganisho kwa kweli, kisha chagua toleo linaloungwa mkono badala ya kufundisha programu ya zamani algoriti mpya.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Ikiwa AES-256-GCM haionekani kwenye orodha hiyo, hakuna mstari wa wasifu utakaoiongeza. Suluhisho ni mteja mpya zaidi au toleo lingine, na vikwazo vya upande wa zamani vinakuwa swali tofauti la usanifu.

Kwa wateja wanaotegemea OpenVPN 3, injini na maagizo yanayokubalika yanatofautiana na mstari wa jumuiya 2.x, kwa hivyo maandishi yale yale ya wasifu yanaweza kushindwa kwa sababu zisizohusiana na orodha ya sifa.

Upungufu katika mazungumzo

Wakati pande zote zinataja algoriti, swali linalobaki ni orodha ipi inayotolewa na upande gani. OpenVPN ya jumuiya ilibadilisha jina la agizo la mazungumzo: ncp-ciphers katika 2.4 ikawa data-ciphers katika 2.5, na katika 2.6 mstari wa zamani wa cipher unatumikia zaidi upatanifu na kurudi nyuma badala ya kufafanua seti iliyojadiliwa.

Ndiyo sababu kubadilisha mstari wa zamani wa cipher pekee kunaweza kuacha orodha ya mazungumzo bila kuguswa. Mstari wa zamani bado ni muhimu kwa kurudi nyuma, na hiyo ni kazi tofauti. Kuchanganya yote mawili huzalisha mabadiliko yasiyobadilisha chochote kinachoonekana.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Linganisha orodha za ncha mbili na ujumbe wa kukataa wa seva. Ikiwa makutano ni tupu, linganisha orodha kwa makusudi badala ya kunakili thamani kutoka makala iliyoandikwa kwa toleo lingine. Orodha pana mno hudhoofisha kila muunganisho kwa utulivu. Orodha nyembamba mno huondoa upande uliokusudia kuubakiza.

Weka upatanifu wazi

Kurudi nyuma kwa upande mmoja wa zamani ni uamuzi wenye gharama: usambazaji wote unakubali chaguo dhaifu ili kifaa kimoja kiweze kuunganishwa. Andika hivyo, na uweke kikomo kwa upande unaohitaji.

Masharti mawili huamua matokeo. Ikiwa hitilafu ni ya ndani, badilisha toleo. Ikiwa hitilafu ni ya mazungumzo, linganisha orodha pande zote mbili na uandike ni matoleo gani unayaunga mkono.

Kisha ripoti hitilafu kamili pamoja na matokeo ya toleo na uwezo. Jozi hilo hutenganisha algoriti inayokosekana na kutokubaliana, na husimamisha raundi ijayo ya mabadiliko ya kukisia kabla ya kuanza.