ca md too weak: tutoe cheti upya au tupunguze kiwango?

OpenVPN mteja aliyefanya kazi mwezi uliopita sasa anashindwa wakati wa kuanza na ca md too weak, na profaili iliyo kwenye diski ni sawa baiti kwa baiti na ile iliyofanya kazi. Ujumbe unahusu sahihi kwenye cheti cha mamlaka ya vyeti, si siri ya data, digest ya auth au nenosiri la akaunti. Masharti matatu yanaamua kama suluhisho ni nyenzo mpya ya utambulisho, mnyororo mpya, au mabadiliko ya sera kwa makusudi. Yafanye kwa mpangilio, na utaepuka matokeo ya kawaida ambapo handaki hurudi kwa kudhoofisha kila muunganisho wa TLS kwenye mwenyeji.

Hitilafu inataja nini hasa

OpenSSL huinua hitilafu hii ya uthibitishaji wakati inajenga mnyororo, pale cheti kinachofanya kazi kama CA kinapobeba digest ya sahihi ambayo kiwango cha usalama cha maktaba haikubali tena. MD5 inakataliwa kwa kiwango cha chaguo-msingi, na SHA-1 inakataliwa mara kiwango kinapoinuliwa. Digest ya cheti cha jani hapa ina uzito mdogo kuliko digest ya mtoaji anayeisaini. Sera hiyo hiyo inaweza kukataa mzizi uliokuwa wa kawaida kabisa siku ulipotolewa.

Ndiyo sababu kuhariri auth au data-ciphers hakuokoi hitilafu hii. Mipangilio hiyo inasimamia jinsi pakiti zinalindwa baada ya kupeana mkono, wakati kitu kilichokataliwa ni hati ya utambulisho inayochunguzwa kabla handaki haijakuwepo. Cheti kinaweza kukaa vizuri ndani ya kipindi chake cha uhalali na bado kubeba sahihi ambayo maktaba haitakubali.

Tenganisha ukaguzi hizo akilini na hitilafu itaacha kuonekana kuwa fumbo. Tarehe za uhalali, matumizi ya ufunguo na digest ya sahihi ni majaribio huru, na mmoja wao hasa ameshindwa sasa hivi.

Sharti la kwanza: kitu kilichokataliwa ni mzizi?

Chapisha kila cheti katika profaili na usome sehemu za subject na issuer. Mzizi uliojisaini mwenyewe unaonyesha thamani moja katika zote mbili, na algoriti yake ya sahihi ndiyo mnyororo wote unategemea. Digest dhaifu inapokaa hapo, kila jani lililo chini yake hurithi tatizo. Andika algoriti kando ya subject ili kulinganisha baadaye kuwe kwa kimfumo na si kwa kumbukumbu.

Faili za CA zilizounganishwa mara nyingi zina vitalu kadhaa, kwa hiyo tambua kitalu kinachopakiwa kwa kweli badala ya kudhani cha kwanza ndicho mwenye hati. Amri openssl x509 -in ca.pem -noout -subject -issuer -text inaeleza cheti kimoja kwa wakati, maana yake ni kwamba kifurushi lazima kigawanywe kwanza ikiwa kina zaidi. Linganisha algoriti ya sahihi iliyochapishwa na digest unayotarajia kutoka enzi mzizi ulipoundwa.

Jani lililosainiwa kwa SHA-256 chini ya mzizi dhaifu bado linashindwa, kwa sababu ukaguzi wa mnyororo unapanda hadi juu. Mpangilio huo ndio unaofanya sharti linalofuata kuwa muhimu.

Sharti la pili: unamdhibiti mtoaji?

Kama mzizi ni wa shirika lako, suluhisho la kudumu ni mzizi mpya wenye digest ya kisasa pamoja na majani yaliyotolewa upya, yakitolewa kama sasisho moja la profaili. Hiyo inagharimu dirisha la matengenezo na mpango kwa vifaa visivyoweza kupokea sasisho siku hiyo hiyo.

Kama mhusika wa tatu alitoa mnyororo, suluhisho ni ombi kwa opereta huyo, na hatua pekee ya ndani yenye manufaa ni kuacha kutegemea nyenzo za zamani. Kuhariri maandishi ya PEM au kuhifadhi faili tena hakubadilishi chochote cha kile sahihi inachofunika.

Hali moja ya kati inastahili jina: mzizi wa ndani uliozeekaa zaidi kuliko chaguo-msingi za sasa lakini bado unasaini nyenzo ambazo mifumo mingine inaamini. Kuubadilisha kunamaanisha kukagua kila mtumiaji, ikiwa ni pamoja na vifaa vinavyobandika cheti cha zamani kwa alama ya kidole. Hesabu watumiaji hao kabla ya kupanga mabadiliko, kwa sababu ubadilishaji wa mzizi unaomkosa mmoja hubadilisha hitilafu ya kuanza na kusimama kwa huduma.

Sharti la tatu: kupunguza kiwango kunakubali nini kingine

Kupunguza kiwango cha usalama, au kuchagua profaili ya zamani ya vyeti ya OpenVPN, humfanya mteja akubali digest ya zamani tena. Pia hulegeza ukaguzi mwingine katika maktaba hiyo hiyo, kwa kila muunganisho ambao mchakato huo hufanya.

Hilo linaweza kuwa na utetezi katika maabara, au kama daraja fupi wakati nyenzo mbadala zinapoandaliwa, mradi tu msamaha huo uwe na mipaka ya profaili moja na uwe na tarehe ya mwisho. Kama mpangilio wa kudumu kwenye mwenyeji unaoshirikiwa, hupanua kwa utulivu kile kila mteja wa TLS hapo atakachoamini.

Andika msamaha pamoja na mmiliki na hatua ya kuondoa. Mabadiliko ya kiwango yasiyorekodiwa hayawezi kutofautishwa na kosa miezi sita baadaye, na mhandisi anayefuata hatajua kwamba wakati mmoja ilikuwa uamuzi.

Uamuzi, ulioandikwa kama kanuni

Badilisha mnyororo unapodhibiti mtoaji na unaweza kuorodhesha watumiaji wake. Pandisha kwa mtoaji usipodhibiti. Punguza kiwango tu kama msamaha wenye tarehe na mipaka, huku mbadala ukiwa umepangwa tayari. Kitu kingine chochote huacha cheti kilekile mahali pake na kuhamisha hatari mahali pasipoonekana zaidi.

Kisha jaribu tena profaili kutoka kwa mteja safi, thibitisha kuwa kupeana mkono kunakamilika, na uhifadhi maandishi kamili ya kukataa ikiwa bado inashindwa. Ujumbe sahihi wa hitilafu ni kitu cha bei rahisi zaidi unachoweza kumpa mmiliki wa tabaka linalofuata.