Hitilafu ya usimbaji TLS kwenye OpenVPN: linganisha kwanza pande mbili

Hitilafu ya «hakuna usimbaji wa pamoja» inasikika kama mpangilio mmoja wa kubadilisha, na mpangilio ambao watu wengi hubadilisha ndio usio sahihi. OpenVPN huweka sera tofauti kwa kituo cha udhibiti kinachofanya mshikamano wa TLS na kwa kituo cha data kinachobeba pakiti ndani ya handaki, na hitilafu huitaja ile ya kwanza wakati watu wanahariri ile ya pili. Kulinganisha kile kila upande unaruhusu, kwa mpangilio sahihi, hubadilisha ubashiri kuwa maamuzi mawili au matatu: toleo, kisha orodha ya suite, kisha vitambulisho.

Ukikosea mpangilio huo, unaweza kupoteza saa moja kuongeza jina la AES kwenye orodha ambayo haikushauriwa kamwe.

Orodha mbili za usimbaji, na moja tu huvunja mshikamano

Kituo cha udhibiti hujadili kipindi cha TLS, na sera yake huandikwa kwa tls-cipher kwa TLS 1.2 na tls-ciphersuites kwa TLS 1.3. Kituo cha data husanidiwa kando kwa data-ciphers, ambapo kutokulingana hutoa muunganisho unaosimamishwa na kisha usiweze kupitisha trafiki. Vyote viwili hutoa hitilafu zinazotaja usimbaji, ndiyo sababu huchanganywa. Mshikamano usiokamilika kamwe huelekeza kwenye kituo cha udhibiti, wakati handaki iliyosimamishwa inayodondosha pakiti huelekeza kwenye kituo cha data.

Soma ujumbe wote badala ya mstari wa kwanza. Kutokulingana kwa toleo, suite inayokosekana, algoriti ya sahihi ya cheti ambayo upande hukataa, na kushindwa kwa uthibitishaji wa jina la mwenyeji vyote huishia kwenye hitilafu ya TLS, na moja tu kati yao inahusu orodha yako ya suite. Kutenganisha makundi hayo ni sehemu kubwa ya uchunguzi.

Linganisha matoleo kabla ya kulinganisha suite

Upande uliowekewa kikomo cha TLS 1.2 na upande unaohitaji 1.3 hazishiriki toleo, na hakuna mfuatano wa usimbaji unaovuka pengo hilo. Andika tls-version-min na tls-version-max kwa pande zote mbili, au thamani chaguo-msingi za miundo inayotumika, kwa sababu sera ya OpenSSL ya usambazaji inaweza kupandisha kiwango cha chini bila chaguo lolote la OpenVPN kusema hivyo. Ikiwa upande mmoja ni kifaa au mteja wa wahusika wengine, dirisha lake ni lile ambalo programu-izi yake inaruhusu. Ulinganisho wa suite huwa na maana tu baada ya madirisha kuingiliana.

Kumbukumbu hizo zinapaswa pia kutaja faili za binary halisi. openvpn kwenye mstari wa amri kwenye kompyuta yako mpito si lazima kuwa mteja anayeshughulikia wasifu ulioingizwa.

Orodha za TLS 1.2 na TLS 1.3 hazichanganyiki

Majina ya suite za TLS 1.2 yanaonekana kama ECDHE-RSA-AES256-GCM-SHA384 na huwa kwenye tls-cipher, ambayo hupokea mfuatano wa usimbaji wa OpenSSL. Suite za TLS 1.3 zinaitwa kama TLS_AES_256_GCM_SHA384 na huwa kwenye tls-ciphersuites; kuongeza moja kwenye mfuatano wa 1.2 hakuweki orodha ya 1.3, na kichanganuzi kinaweza kukubali maandishi bila kuyalinganisha kamwe. Kichujio kilicho sahihi kwa toleo moja hakisemi kitu kuhusu lingine. Andika ni orodha ipi kwa toleo lipi.

openvpn --show-tls huchapisha kile muundo wa ndani unachounga mkono, na hiyo ni orodha si ahadi: upande wa mbali unaweza usiruhusu suite hizo, na wasifu unaotumika unaweza usiziamshe. Itumie kuondoa muundo ambao hauwezi kutoa suite kabisa, kisha linganisha orodha zilizosanidiwa.

Thibitisha mazungumzo kwenye muunganisho mpya

Mshikamano uliofanikiwa ndio ushahidi pekee unaohesabiwa, na lazima utoke kwa mteja halisi na wasifu halisi. Pandisha kiwango cha maelezo ya seva, unganisha mara moja, na soma toleo la itifaki na suite zilizojadiliwa kutoka kwenye kumbukumbu badala ya kudhani thamani ya kwanza iliyotolewa ilishinda. Kisha thibitisha kituo cha data kando kwa trafiki kupitia handaki, kwa sababu mshikamano unaofanya kazi na kituo cha data kinachoshindwa ni marekebisho tofauti. Rudia baada ya mabadiliko yoyote ya usanidi, kwa sababu wasifu wa mteja uliopitwa na wakati ni chanzo cha kawaida cha matokeo hasi ya uongo.

Ikiwa hakuna usanidi wa pamoja ulioidhinishwa, jibu ni uboreshaji au mpango wa uhamishaji, si sera iliyodhoofishwa. tls-version-min kupunguza, kuzima uthibitishaji au kuwezesha suite zote za zamani huondoa kukataliwa bila kutimiza hitaji la usalama lililoizalisha.

Andika toleo lililojadiliwa, suite na usimbaji wa data kwenye tikiti ya mabadiliko. Mtu anayefuata kukutana na hitilafu ya TLS ataanza kutoka kwa kumbukumbu hiyo, si kutoka kwa mfuatano wa usimbaji uliopatikana kwenye chapisho la jukwaa.