Toleo la TLS lisilokubalika katika AnyConnect kwenye Linux: kwanza bainisha wigo wa marekebisho

Hitilafu hii huja kabla ya ombi la nenosiri, na hiyo ndiyo sehemu yenye manufaa: hakuna kilichothibitishwa bado, kwa hiyo vitambulisho si tatizo. Kwenye Linux, mazungumzo yale yale ya AnyConnect yanaweza kutoka kwa toleo la zamani la itifaki, kikundi cha kubadilishana funguo cha biti 1024, au seti ya usimbaji fiche ambayo sera ya kripto ya mfumo inakataa. Nimeiondoa kwa njia tatu tofauti kwenye mashine tatu, na kinachotofautisha suluhisho hizo ni wigo wa athari, si ujanja. Kila moja inaweza kutetewa mahali pake na ni chaguo-msingi baya kila mahali pengine.

Soma ujumbe kabla ya kugusa sera

Hifadhi mfuatano kamili kutoka kwenye mazungumzo. Malalamiko ya toleo huelekeza kwenye tabaka la itifaki, malalamiko ya cheti huelekeza kwenye uaminifu au uundaji majina, na kuingia kushindwa huelekeza kwenye vitambulisho. Lango linalotoa TLS 1.0 na kikundi cha DHE cha biti 1024, AES-256-CBC na sahihi ya SHA-1 linaweza kuwa na cheti halali kabisa na bado likataliwa na sera ya kisasa kabla data yako kutumwa.

Chunguza sehemu ya mwisho kwa OpenSSL ya mfumo, ukitumia jina halisi la mwenyeji na bandari ambayo mteja hutumia.

Ikiwa openssl s_client -connect vpn.example.com:443 -servername vpn.example.com inashindwa wakati -tls1 -cipher DEFAULT@SECLEVEL=0 inafanikiwa, inaonyesha kwamba mpaka ni toleo na ukubwa wa funguo kwa pamoja. Ikiwa amri ya kwanza inaripoti ufunguo mdogo wa DH badala ya tahadhari ya itifaki, toleo liko sawa na ni kikundi pekee kinachohitaji uangalifu. Kamwe usiweke ufunguo wa faragha au nenosiri kwenye ukaguzi.

Chaguo 1: legeza mwenyeji wote kwa sera ya kripto

Kwenye Fedora na RHEL 8 na 9, update-crypto-policies --set LEGACY hupunguza sera ya mfumo ya OpenSSL, na update-crypto-policies --show huthibitisha kinachotumika. Kwa kawaida hurejesha handaki, lakini sera husomwa wakati mchakato unaanza, kwa hiyo anzisha upya mteja na msaidizi yeyote aliyeunda kabla ya kujaribu tena. Pia huruhusu itifaki za zamani na vikundi hafifu kwa kila mteja wa TLS kwenye mashine, kutoka kivinjari cha dirisha jirani hadi msimamizi wa vifurushi anayesasisha kerneli.

Upana huo ndio lengo lote na tatizo lote. LEGACY hutumika kwa mwenyeji wote, ni wa kudumu na ni rahisi kusahau, kwa hiyo unapaswa kuwa hatua ya utambuzi au ubaguzi ulioandikwa kwenye ujenzi unaosimamiwa, kamwe si hali ya mapumziko ya kituo cha kazi. Nimeona moja iliyobaki kwenye LEGACY kwa miaka miwili kwa sababu lango moja la ndani lilihitaji, na hakuna aliyeweza kusema lilianza lini.

Debian na Ubuntu hazina swichi moja ya hii. Kifanani ni uhariri wa /etc/ssl/openssl.cnf unaoweka MinProtocol ya chini na CipherString = DEFAULT@SECLEVEL=0 katika sehemu ya chaguo-msingi za mfumo. Wigo ule ule, faili tofauti, ni rahisi kidogo kupoteza macho wakati wa kusasisha toleo.

Chaguo 2: faili moja ya usanidi kwa mteja mmoja

Usanidi wa OpenSSL kwa kila mchakato huweka mabadiliko ndani ya mti mmoja wa michakato, lakini tu ikiwa faili imeunganishwa jinsi maktaba inavyotarajia. Kutaja sehemu ya ssl_conf hakitoshii: OpenSSL husoma ufunguo wa ngazi ya juu openssl_conf, huufuata hadi sehemu ya uanzishaji, na hapo ndipo hufikia chaguo-msingi za SSL.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

Elekeza OPENSSL_CONF kwenye faili hiyo na uanzishe mteja wa VPN kupitia kifuniko kinachoisafirisha. Kila kitu kingine kwenye mwenyeji hubaki na sera ya chaguo-msingi, na hiyo ndiyo sifa muhimu pale swali la kufuata sheria linapokuja. Thibitisha kwamba faili inatumika kweli kabla ya kulaumu lango: OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 inapaswa kuorodhesha usimbaji wa TLS 1.0, na matokeo tupu yanamaanisha mnyororo umevunjika na mteja amebakiza chaguo-msingi za mfumo kimya kimya.

Faili ni nyeti kwa toleo. OpenSSL 1.1.1 na 3.x hukubali majina yale yale ya sehemu, lakini utunzaji wa maagizo kuzunguka watoa huduma ulibadilika katika 3.x, kwa hiyo thibitisha kwa kumbukumbu ya mteja mwenyewe na makubaliano ya majaribio badala ya kudhani faili ilisomwa. Hitilafu ya uchapaji katika jina la sehemu hushindwa kwa wazi, na mteja hutumia chaguo-msingi za mfumo kimya kimya.

Kikomo ni ufunikaji. Kila kitu kilichounganishwa na GnuTLS au NSS hupuuza OPENSSL_CONF, na vile vile mchakato wowote msaidizi ambao mteja huanzisha bila kurithi mazingira. Angalia kwa ldd maktaba gani ya TLS ambayo faili ya binary imeunganishwa nayo kabla ya kujenga kifuniko, kwa sababu jibu huamua ikiwa chaguo hili lipo kabisa.

Chaguo 3: VM au chombo cha matumizi ya mara moja

Kwa mkandarasi anayeshambulia lango moja la zamani kwa wiki mbili, VM maalum yenye sera iliyolegezwa ni mpaka safi zaidi kuliko kituo cha kazi. Uso wa zamani na wasifu wa kila siku wa kivinjari huacha kushiriki sera ya kerneli, na utupaji ni kufuta, si ugunduzi wa ukaguzi.

Bado ni mashine iliyounganishwa na mtandao, kwa hiyo punguza ufikiaji wake na uweke mbali na uvinjari wa jumla. Gharama ya matengenezo ni taswira nyingine ya kuipachika, jambo ambalo ni la kweli lakini lenye mipaka na linaonekana, tofauti na bendera ya LEGACY iliyosahaulika kwenye laptop.

Ulinganisho unakuachia nini

Chagua kwa maswali matatu: nani anahitaji itifaki ya zamani, kwa muda gani, na nani atagundua ikiwa ubaguzi unaishi zaidi ya sababu yake. Programu moja, mtu mmoja, siku chache huelekeza kwenye usanidi wa kila mchakato. Kundi lote nyuma ya kifaa kimoja huelekeza kwenye lango lenyewe. Kitu chochote kinachohitaji sera ya LEGACY ya kudumu kwenye mwenyeji ni uamuzi wa ununuzi uliovaa mavazi ya kiufundi.

Marekebisho ya kudumu ni ya kifaa: TLS 1.2 au mpya zaidi, kikundi cha angalau biti 2048, usimbaji wa AEAD, na cheti chenye sahihi ya kisasa. Omba mabadiliko hayo kwa mmiliki wa kifaa, kisha thibitisha toleo na usimbaji uliojadiliwa kwenye kumbukumbu ya mteja. Andika ubaguzi pamoja na mwenyeji, lango, itifaki iliyojadiliwa, mtoa idhini na tarehe ya mwisho, kwa sababu noti hiyo ndiyo inayozuia suluhisho la muda kuwa chaguo-msingi.