SECLEVEL=0 inatibu dalili, si cheti

Muunganisho wa OpenVPN unashindikana, mtu hupata suluhisho la mstari mmoja linaloongeza SECLEVEL=0, na handaki huinuka. Kilichobadilika si cheti na si seti ya sifa; kizingiti cha ukubalifu kote maktabani kilihamia, na kila kitu ambacho mchakato hufanya baadaye hurithi mpaka mpya. Hilo linafaa kueleweka kabla mstari huo huo haujanakiliwa katika kila wasifu wa mazingira.

Tambua ni maktaba gani na sera gani zinatumika

SECLEVEL ni dhana ya OpenSSL, kwa hiyo swali la kwanza ni kama build yako inatumia OpenSSL hata kidogo. OpenVPN inaweza kuunganishwa na maktaba zaidi ya moja ya kriptografia, na mpangilio unaotumika kwa moja yao hauna maana kwa nyingine. Uliza faili binary imejengwa na nini, kisha uliza maktaba ni toleo gani na usanidi gani iliyopakia:

openvpn --version | head -3
openssl version -a

Soma matokeo ya toleo kwa makini, kwa sababu usambazaji hurekebisha thamani chaguo-msingi. Baadhi hutoa usanidi wa mfumo unaoinua kiwango cha chini juu ya chaguo-msingi la upstream, na ndiyo sababu wasifu uleule hujitokeza tofauti kwenye mashine mbili zenye pakiti za OpenVPN zinazofanana. Sera inayotumika ni ile iliyopakiwa na mchakato unaoendelea, si ile iliyo kwenye mwongozo wa upstream.

Kisha tenganisha tabaka mbili ambazo watu huzichanganya. OpenVPN ina vidhibiti vyake vya TLS, ikiwa ni pamoja na mpangilio wa wasifu wa cheti na orodha bayana za sifa, na hivyo husimama juu ya kila kitu ambacho maktaba inalazimisha. Kupunguza kiwango cha maktaba hakubadilishi ni sifa zipi usanidi wako wa OpenVPN unaoorodhesha, na kupunguza orodha ya OpenVPN hakuinui kizingiti cha maktaba. Kujua ni tabaka gani lilikukatalia ni kile kinachozuia suluhisho kuwa ubashiri.

Tenganisha mambo matatu yanayoweza kukataliwa

Mgombea wa kwanza ni nyenzo za utambulisho: cheti ambacho ufunguo wake ni mdogo sana au ambacho algoriti ya sahihi haikubaliwi tena na sera. Wa pili ni kigezo cha kubadilishana funguo, kama kundi ambalo sera inaliona kuwa dhaifu sana. Wa tatu ni seti ya sifa ambayo sera inaiondoa. Yote matatu yanaweza kusababisha kushindikana kwa kupeana mkono, na ni maandishi ya hitilafu na hatua ya majadiliano tu zinazowatenganisha.

Hakuna hata mmoja wa hao watatu aliye sifa ya kituo cha data. OpenVPN hujadili usimbaji fiche wa handaki yake kando na kupeana mkono kwa TLS, kwa hiyo muunganisho unaofaulu baada ya mabadiliko ya kiwango cha usalama hausemi chochote kuhusu ni sifa gani inayolinda data yako. Ikiwa swali unalouliza kwa kweli linahusu usiri wa data, unaangalia kitufe kisichofaa kabisa.

Kupunguza kiwango kunapanua ukubalifu kwa ingizo zote tatu kwa wakati mmoja. Hii ni sehemu ambayo watu huikosa: suluhisho linalokubali cheti cha zamani pia hukubali kundi dhaifu na seti ambayo huenda hukukusudia kuiruhusu. Hitilafu moja ilichochea mabadiliko, na mabadiliko ni mapana kuliko hitilafu. Asymmetry hiyo ndiyo sababu ubaguzi uliowekewa mipaka ni bora kuliko chaguo-msingi kwa mazingira yote.

Badilisha ingizo, si kizingiti

Hifadhi hitilafu kamili kabla ya kugusa usanidi, ikiwa ni pamoja na hatua iliyoripoti na kitu iliyokitaja. Tatizo la cheti hutatuliwa kwa kubadilisha cheti na kitu ambacho sera ya sasa inakubali, ambayo kwa kawaida inamaanisha kukitoa upya kutoka kwa mamlaka badala ya kusakinisha faili lilelile tena.

Ikiwa ingizo lililokataliwa ni la mwenza usiyemdhibiti, mazungumzo ni na mmiliki wake kuhusu nyenzo mbadala zinazotumika. Kupunguza kizingiti chako mwenyewe ili kukidhi mfumo ambao hakuna anayeutunza huhamishia gharama kutoka kwao kwa wote wanaounganisha baada yao.

Mahali ambapo seva inatekeleza sera, angalia kama mpangilio wa kiwango cha OpenVPN ndio sababu halisi kabla ya kulaumu maktaba. Wasifu wa cheti unaodai daraja kali zaidi kuliko ambalo cheti kilichowekwa kinaweza kutosheleza utashindikana bila kujali kiwango cha usalama, na kuondoa wasifu huo ni mabadiliko membamba kuliko kuzima ukaguzi wa maktaba.

Ikiwa lazima uipunguze, weka mipaka na uirekodi

Wakati mwingine ubaguzi wa upatanishi ulioidhinishwa ndio jibu sahihi, hasa kwa mwenza wa zamani mwenye mpango wa kustaafu wenye tarehe. Weka mipaka kwa huduma inayouhitaji badala ya mwenyeji mzima: faili ya usanidi mahususi ya huduma au usanidi maalum wa OpenSSL una athari ndogo kuliko usafirishaji nje kwenye wasifu wa kimataifa.

Andika mambo manne pamoja na ubaguzi: mpangilio kamili, mmiliki aliyeidhinisha, wateja walioathirika, na sharti ambalo huondolewa. Ubaguzi usio na sharti la kustaafu ni udhaifu wa kudumu ulioambatanishwa na uhalali wa muda.

Kurudi nyuma kunapaswa kuwa hatua moja ambayo tayari umeijaribu. Hifadhi usanidi uliopita, tumia mabadiliko, thibitisha kuwa huduma inaanza, na jua hasa faili gani ya kurejesha ikiwa muunganisho unaofuata utajitokeza tofauti na inavyotarajiwa.

Kisha thibitisha utambulisho na ulinzi

Muunganisho uliofaulu huthibitisha tu kwamba masharti yaliyorekebishwa yaliukubali. Thibitisha kuwa uthibitishaji wa jina la mwenyeji na mwenza bado unafanya kazi yake, kwamba cheti kinachotumika ni kile ulichokusudia kuweka, na kwamba kituo cha data kilichojadiliwa kinalingana na sera unayofikiri unayo.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Marejeo ya viwango vya usalama vya OpenSSL yanasema waziwazi kwamba mfumo huweka mipaka kwa funguo, sahihi, makundi na seti kwa pamoja, na kwamba kiwango sifuri huruhusu kila kitu ambacho callback hukagua. Huo ndio wigo wa kile ulichobadilisha, na hiyo ndiyo sentensi ya kunukuu mtu anapouliza kama suluhisho lilikuwa membamba.

Uwasilishaji unaostahimili ukaguzi husema sera gani ilikataa ingizo gani, nini kilibadilishwa, na nini kinabaki kinakubalika kama matokeo. „Inafanya kazi na SECLEVEL=0“ ni uchunguzi kuhusu muunganisho mmoja, si tathmini ya usalama ya uwekaji.