Kwa nini OpenVPN iliacha kuunganisha baada ya uboreshaji wa Ubuntu?

Wasifu wa VPN uliofanya kazi wiki iliyopita huvunjika baada ya uboreshaji wa toleo la Ubuntu, na kumbukumbu mara chache hutaja uboreshaji kabisa. Inachotaja ni tabaka lililoshindikana: mshikamano wa TLS, sifa iliyojadiliwa kwa njia ya data, kifurushi kilichosakinishwa, au nakala ya OpenSSL ambayo faili tendaji hupakia wakati wa kuanza. Kila tabaka lina umbo lake la hitilafu na ukarabati wake, kwa hivyo uainishaji ni kazi ya kwanza na uhariri ni ya pili. Chukulia wasifu kama usio na hatia hadi kumbukumbu uitaje.

Tabaka gani lilishindikana: mshikamano, sifa, kifurushi au maktaba

Soma kumbukumbu ya mteja kabla ya kugusa wasifu. hitilafu ya kwanza kabisa kwenye matokeo ndiyo inayotambua tabaka; kila kinachochapishwa baada yake kwa kawaida ni matokeo ya kushindikana kwa kwanza huko. Wakati mteja haanzishi kabisa, kumbukumbu ya VPN ni faili isiyofaa kufungua.

Malalamiko kuhusu vyeti na sahihi, au ujumbe kuhusu urefu wa ufunguo, hutoka kwenye kituo cha udhibiti na sera ya maktaba inayokidhibiti. Lakini onyo linaloanza na DEPRECATED OPTION ni la mazungumzo ya kituo cha data.

Mstari kama Unrecognized option ni aina ya tatu: faili tendaji mpya haikubali tena maagizo ambayo ya zamani yalivumilia, kwa hivyo wasifu unahitaji kuandikwa upya na sio maktaba kulegezwa. Hitilafu za vifurushi huonekana tofauti tena kwa sababu hutokea kabla ya msimbo wowote wa handaki kuendeshwa. Faili tendaji inayokosekana, programu-jalizi isiyopakiwa, au hazina inayoelekeza jina la msimbo lisilofaa zote hutoa umbo hilo. Dalili nne, maeneo manne ya kuangalia, na karibu hakuna mwingiliano kati ya ukarabati.

Mshikamano unaposhindikana, sera ya TLS inakataa cheti

Ubuntu 22.04 ilihamishia mfumo kwenye OpenSSL 3, na kiwango cha usalama chaguo-msingi katika tawi hilo ni kali zaidi kuhusu sahihi za vyeti na ukubwa wa funguo kuliko 20.04 ilivyokuwa. Cheti cha CA kilichotiwa sahihi kwa digest ya zamani, au ufunguo chini ya kizingiti cha sasa, sasa hushindikana wakati wa mshikamano. Kwa kuwa hakuna kilichothibitishwa bado, hitilafu inasomeka kama nenosiri lisilofaa au seva iliyokufa.

Ukarabati mwembamba huambatanisha mfuatano wa sifa na muunganisho huu pekee. Kwenye kihariri cha eneo-kazi, fungua wasifu, nenda kwenye mipangilio ya kina na uweke DEFAULT:@SECLEVEL=0 kwenye uwanja wa sifa ya TLS. Faili ya ufunguo ya NetworkManager huchukua thamani hiyo hiyo chini ya [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Anzisha upya NetworkManager na unganisha tena, kwa sababu daemon huhifadhi wasifu zilizochanganuliwa na vinginevyo itaendelea kutumia nakala iliyo nayo. Jua mstari huo hufanya nini kabla ya kuubakiza: mpangilio huo ni kizingiti juu ya vigezo kadhaa vya vyeti na funguo, sio jina la sifa, kwa hivyo kuupunguza kunapanua kile wasifu mmoja unakubali. Andika seva ipi iliuhitaji na uachilie mpangilio huo mwendeshaji anapotoa tena nyenzo za sasa. Kubadilisha /etc/ssl/openssl.cnf hufikia kizingiti hicho kwa kila programu inayosoma faili hiyo, jambo ambalo liko mbali sana na VPN.

OpenVPN 2.6 inahitaji sifa kuorodheshwa kwa mazungumzo

Ubuntu 22.10 ilileta OpenVPN 2.6, na katika toleo hilo --cipher huacha kuchagua kituo cha data yenyewe. Sifa lazima pia iwepo kwenye orodha data-ciphers iliyojadiliwa, vinginevyo mteja huchapisha onyo la kuukuu kisha hushindwa kuinua handaki.

Programu-jalizi ya NetworkManager ya kipindi hicho ilikuwa bado ikiandika maagizo ya zamani pekee. Undani huu hugawanya uchunguzi, kwa sababu wasifu uliosahihishwa kwa mkono unaweza kuunganisha kutoka shell na bado ushindikane kutoka programu ya eneo-kazi. Ongeza orodha kwenye faili ya muunganisho chini ya [vpn]:

data-ciphers=AES-256-CBC

Tumia thamani ambayo seva inatangaza, sio ile unayokumbuka; seva inayotoa AES-256-GCM haitajadiliana na orodha ya mteja inayotaja CBC pekee. Anzisha upya msimamizi na unganisha tena, kisha rudia jaribio kutoka shell ukiipa sifa waziwazi kwa mazungumzo na hifadhi rudufu:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Ikiwa amri hiyo inainua handaki, seva, vyeti na vitambulisho vyote ni vizuri, na kasoro pekee iliyobaki ni chaguo lililohifadhiwa na msimamizi. Onyo kuhusu maagizo keysize ni la usafishaji huo huo: weka maoni na uweke faili halisi kando ya wasifu.

Hitilafu za vifurushi na programu-jalizi huonekana kama hitilafu za VPN

Sio kila kushindikana baada ya uboreshaji ni kriptografia. Hazina ya OpenVPN iliyoongezwa chini ya jina la msimbo ambalo toleo halitumii hutoa kifurushi ambacho hakisakinishwi kamwe, kwa hivyo linganisha kile lsb_release -a inaripoti na faili ya orodha uliyoongeza. Sehemu ya universe inayokosekana au mfuko wa usalama hutoa kifurushi ambacho hakiwezi kupatikana kabisa. Kesi zote mbili huacha wasifu bila kuguswa na handaki lisilowezekana.

Soma hitilafu ya msimamizi wa vifurushi kabla ya kumbukumbu ya VPN. Ikiwa mteja hakuwahi kusakinishwa, kiasi chochote cha uhariri wa wasifu hakitatoa mshikamano.

Wasifu wa vipengele viwili unaoacha kuuliza ni toleo la programu-jalizi la hadithi hiyo hiyo. Changamoto hutoka kwa programu-jalizi ya uthibitishaji, na uboreshaji ulioiondoa au kuibadilisha huacha wasifu mzima wakati ombi linatoweka. Sakinisha upya programu-jalizi inayotumika badala ya kufuta kipengele cha pili ili muunganisho ufanye kazi.

Maktaba ya muuzaji inaweza kujificha nyuma ya hitilafu ya sera

Muundo mmoja unastahili kutambuliwa kwa sababu hushinda kila ukarabati wa sera. Zana ya usanidi ya muuzaji wa maunzi inaweza kusakinisha maktaba zake za OpenSSL na kuziweka mbele ya nakala za mfumo kwenye njia ya utafutaji ya kipakiaji. Mteja kisha huanza dhidi ya maktaba ambayo hakuna aliyeiboresha, na kushindikana kwa kuanza huonekana sawa kabisa na cheti kilichokataliwa.

Kusakinisha upya kifurushi cha VPN hakubadilishi maktaba ipi hupatikana kwanza, na kupunguza kiwango cha TLS hakuwezi kufikia maktaba ambayo haikuja kamwe kutoka kwa mfumo. Uliza kipakiaji ni vitu gani vya kriptografia ambavyo faili tendaji hutatua kwa kweli:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Ondoa au elekeza upya nakala ya muuzaji, kisha endesha ukaguzi huo huo tena. Toleo linalotarajiwa lazima liwe lile linalotumika kabla ya kurudi kwenye wasifu.

Kubandika mteja wa zamani kunanunua muda, sio suluhisho

Kushikilia toleo la awali la mteja hurejesha handaki kwa muda wote wa kushikilia. Pia hugandisha masasisho ya usalama ya kifurushi hicho na kupanga uvunjaji huo huo kwa uboreshaji ujao, kwa hivyo chukulia kama suluhisho la muda lenye tarehe, sio suluhisho.

Ikiwa bado unaibandika, shikilia kifurushi waziwazi ili uboreshaji usio na uangalizi usiweze kubatilisha ubandikaji, andika sababu na tarehe ya kukagua tena, na weka kikumbusho kwa toleo lijalo la wasifu kutoka kwa mtoa huduma. Hali inayostahili kufuatiliwa ni wasifu wa seva unaojadili sifa ya sasa; mara tu hiyo ipo, ubandikaji hauna uhalali tena. Ubandikaji usiorekodiwa, kinyume chake, unakuwa usumbufu ambao hakuna anayeweza kuueleza miezi sita baadaye, kwa sababu mtu aliyetumia haipo tena na faili hairekodi chochote.

Mara ijayo VPN inapokufa baada ya uboreshaji wa toleo, uliza maswali matano kwa mfuatano: tabaka gani lilizalisha hitilafu ya kwanza, sera ya TLS ilikataa cheti, sifa inaweza kujadiliwa pande zote mbili, kifurushi na programu-jalizi yake vilisakinishwa kweli, na kipakiaji cha mchakato ni maktaba ipi. Ni baada ya yote matano kurudi safi tu ambapo kupunguza toleo kunaleta maana.