Linux இல் AnyConnect இன் செல்லாத TLS பதிப்பு: முதலில் திருத்தத்தின் எல்லையை வரையறையுங்கள்

முழு ஹோஸ்ட்டுக்கான LEGACY கொள்கை, ஒவ்வொரு செயல்முறைக்கும் OpenSSL உள்ளமைவு மற்றும் ஒரு முறை மட்டும் பயன்படும் VM ஒப்பிடப்பட்டுள்ளன, பிழையை நிரந்தரமாக நீக்கும் கேட்வே மாற்றத்துடன்.

இந்தப் பிழை கடவுச்சொல் கேட்பதற்கு முன்பே வருகிறது, அதுவே பயனுள்ள பகுதி: இன்னும் எதுவும் அங்கீகரிக்கப்படவில்லை, எனவே சான்றுகள் பிரச்சினை அல்ல. Linux இல் அதே AnyConnect உரையாடல் பழைய நெறிமுறை பதிப்பு, 1024-பிட் விசை பரிமாற்றக் குழு, அல்லது கணினியின் கிரிப்டோ கொள்கை மறுக்கும் மறையாக்கத் தொகுப்பு ஆகியவற்றிலிருந்து வரலாம். மூன்று இயந்திரங்களில் மூன்று வேறு வழிகளில் இதை நீக்கியுள்ளேன், அந்தத் தீர்வுகளை வேறுபடுத்துவது திறமையல்ல, தாக்கத்தின் எல்லையே. ஒவ்வொன்றும் சரியான இடத்தில் நியாயமானது, மற்ற எல்லா இடங்களிலும் மோசமான இயல்புநிலை.

கொள்கையைத் தொடுவதற்கு முன் செய்தியைப் படியுங்கள்

உரையாடலின் சரியான சரத்தை வைத்திருங்கள். பதிப்பு குறித்த புகார் நெறிமுறை அடுக்கைச் சுட்டுகிறது, சான்றிதழ் குறித்த புகார் நம்பிக்கை அல்லது பெயரிடலைச் சுட்டுகிறது, தோல்வியடைந்த உள்நுழைவு சான்றுகளைச் சுட்டுகிறது. TLS 1.0, 1024-பிட் DHE குழு, AES-256-CBC மற்றும் SHA-1 கையொப்பத்தை வழங்கும் கேட்வே முழுமையாக செல்லுபடியாகும் சான்றிதழைக் கொண்டிருந்தாலும், உங்கள் சான்றுகள் அனுப்பப்படுவதற்கு முன்பே நவீன கொள்கையால் நிராகரிக்கப்படலாம்.

கணினியின் OpenSSL மூலம் முனைப்புள்ளியைச் சரிபார்க்கவும், உண்மையான ஹோஸ்ட் பெயர் மற்றும் வாடிக்கையாளர் பயன்படுத்தும் துறையைப் பயன்படுத்தி.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com தோல்வியடைந்து -tls1 -cipher DEFAULT@SECLEVEL=0 வெற்றிபெற்றால், எல்லை பதிப்பும் விசை அளவும் சேர்ந்ததே. முதல் கட்டளை நெறிமுறை எச்சரிக்கைக்குப் பதிலாக சிறிய DH விசையைத் தெரிவித்தால், பதிப்பு சரியானது, குழுவுக்கு மட்டுமே கவனம் தேவை. சரிபார்ப்பில் ஒருபோதும் தனிப்பட்ட விசையையோ கடவுச்சொல்லையோ வைக்க வேண்டாம்.

விருப்பம் 1: கிரிப்டோ கொள்கையால் முழு ஹோஸ்ட்டையும் தளர்த்துங்கள்

Fedora மற்றும் RHEL 8 மற்றும் 9 இல், update-crypto-policies --set LEGACY OpenSSL இன் கணினி கொள்கையைக் குறைக்கிறது, update-crypto-policies --show எது செயலில் உள்ளது என்பதை உறுதிப்படுத்துகிறது. இது பொதுவாகச் சுரங்கப்பாதையை மீட்டெடுக்கிறது, ஆனால் செயல்முறை தொடங்கும் போது கொள்கை படிக்கப்படுகிறது, எனவே மீண்டும் சோதிக்கும் முன் வாடிக்கையாளரையும் அது உருவாக்கிய துணைச் செயல்முறைகளையும் மறுதொடக்கம் செய்யுங்கள். இது இயந்திரத்தில் உள்ள ஒவ்வொரு TLS வாடிக்கையாளருக்கும் பழைய நெறிமுறைகளையும் பலவீனமான குழுக்களையும் அனுமதிக்கிறது, அடுத்த சாளரத்தின் உலாவியிலிருந்து கர்னலைப் புதுப்பிக்கும் தொகுப்பு மேலாளர் வரை.

அந்த அகலமே முழு நோக்கமும் முழுப் பிரச்சினையும். LEGACY முழு ஹோஸ்ட்டுக்கும் பொருந்தும், நீடித்தது, மறப்பது எளிது, எனவே அது கண்டறிதல் படியாகவோ நிர்வகிக்கப்பட்ட கட்டமைப்பில் ஆவணப்படுத்தப்பட்ட விதிவிலக்காகவோ இருக்க வேண்டும், ஒருபோதும் பணிநிலையத்தின் ஓய்வு நிலையாக இருக்கக்கூடாது. ஒரு உள் போர்ட்டலுக்கு அது தேவைப்பட்டதால் இரண்டு ஆண்டுகள் LEGACY இல் இருந்த ஒன்றைப் பார்த்துள்ளேன், அது எப்போது தொடங்கியது என்று யாரும் சொல்ல முடியவில்லை.

Debian மற்றும் Ubuntu இற்கு இதற்கு ஒரு ஒற்றைச் சுவிட்சு இல்லை. சமமானது கணினி இயல்புநிலை பிரிவில் தாழ்ந்த MinProtocol மற்றும் CipherString = DEFAULT@SECLEVEL=0 அமைக்கும் /etc/ssl/openssl.cnf திருத்தம். அதே எல்லை, வேறு கோப்பு, வெளியீட்டு மேம்பாட்டின் போது கண்ணுக்குத் தெரியாமல் போவது சற்று எளிது.

விருப்பம் 2: ஒரு வாடிக்கையாளருக்கு ஒரு உள்ளமைவுக் கோப்பு

ஒவ்வொரு செயல்முறைக்கும் OpenSSL உள்ளமைவு மாற்றத்தை ஒரு செயல்முறை மரத்திற்குள் வைத்திருக்கிறது, ஆனால் நூலகம் எதிர்பார்க்கும் வகையில் கோப்பு இணைக்கப்பட்டிருந்தால் மட்டுமே. ssl_conf பிரிவுக்குப் பெயரிடுவது போதாது: OpenSSL மேல்நிலை openssl_conf விசையைப் படிக்கிறது, அதை ஒரு தொடக்கப் பிரிவுக்குத் தொடர்கிறது, அதன் பின்னரே SSL இயல்புநிலைகளை அடைகிறது.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

OPENSSL_CONF ஐ அந்தக் கோப்பிற்குத் திருப்பி, அதை ஏற்றுமதி செய்யும் உறையின் மூலம் VPN வாடிக்கையாளரைத் தொடங்குங்கள். ஹோஸ்ட்டில் மற்ற அனைத்தும் இயல்புநிலைக் கொள்கையைத் தக்கவைக்கின்றன, இணக்கக் கேள்வி வரும்போது முக்கியமானது அந்தப் பண்பே. கேட்வேயைக் குறை சொல்வதற்கு முன் கோப்பு உண்மையில் நடைமுறையில் உள்ளதா என்பதை உறுதிப்படுத்துங்கள்: OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 TLS 1.0 மறையாக்கங்களைப் பட்டியலிட வேண்டும், காலியான முடிவு சங்கிலி உடைந்துள்ளது என்றும் வாடிக்கையாளர் அமைதியாக கணினி இயல்புநிலைகளைத் தக்கவைத்துள்ளது என்றும் பொருள்.

கோப்பு பதிப்பிற்கு உணர்திறன் உடையது. OpenSSL 1.1.1 மற்றும் 3.x அதே பிரிவுப் பெயர்களை ஏற்கின்றன, ஆனால் வழங்குநர்களைச் சுற்றியுள்ள வழிமுறைகளின் கையாளுதல் 3.x இல் மாறியது, எனவே கோப்பு படிக்கப்பட்டது என்று கருதுவதற்குப் பதிலாக வாடிக்கையாளரின் சொந்தப் பதிவு மற்றும் சோதனைக் கைகுலுக்கல் மூலம் சரிபார்க்கவும். பிரிவுப் பெயரில் தட்டச்சுப் பிழை திறந்த நிலையில் தோல்வியடையும், வாடிக்கையாளர் அமைதியாக கணினி இயல்புநிலைகளைப் பயன்படுத்தும்.

வரம்பு பாதுகாப்பு. GnuTLS அல்லது NSS உடன் இணைக்கப்பட்ட எதுவும் OPENSSL_CONF ஐப் புறக்கணிக்கிறது, சூழலை மரபுரிமையாகப் பெறாமல் வாடிக்கையாளர் தொடங்கும் எந்தத் துணைச் செயல்முறையும் அதுபோலவே. உறையைக் கட்டுவதற்கு முன் ldd மூலம் இருமக் கோப்பு உண்மையில் எந்த TLS நூலகத்துடன் இணைக்கப்பட்டுள்ளது என்பதைச் சரிபார்க்கவும், ஏனெனில் பதிலே இந்த விருப்பம் உள்ளதா இல்லையா என்பதைத் தீர்மானிக்கிறது.

விருப்பம் 3: ஒரு முறை பயன்படும் VM அல்லது கொள்கலன்

இரண்டு வாரங்கள் ஒரு பழைய கேட்வே மீது தாக்குதல் நடத்தும் ஒப்பந்ததாரருக்கு, தளர்த்தப்பட்ட கொள்கையுள்ள தனி VM பணிநிலையத்தை விட தூய்மையான எல்லை. பழைய மேற்பரப்பும் தினசரி உலாவி சுயவிவரமும் இனி கர்னல் கொள்கையைப் பகிர்வதில்லை, அகற்றல் தணிக்கைக் கண்டுபிடிப்பு அல்ல, அழித்தல்.

இது இன்னும் வலையமைப்பு இயந்திரம், எனவே அதன் அணுகலைக் கட்டுப்படுத்தி பொது உலாவலில் இருந்து விலக்கி வையுங்கள். பராமரிப்புச் செலவு இன்னொரு படிமத்தை இணைப்புப் பதிப்பிட வேண்டியது, அது உண்மையானது ஆனால் வரம்புடையது மற்றும் தெரிவது, மடிக்கணினியில் மறந்த LEGACY கொடியைப் போலல்ல.

ஒப்பீடு உங்களுக்கு விட்டுச் செல்வது

மூன்று கேள்விகளில் தேர்ந்தெடுங்கள்: பழைய நெறிமுறை யாருக்குத் தேவை, எவ்வளவு காலம், விதிவிலக்கு அதன் காரணத்தை மிஞ்சினால் யார் கவனிப்பார். ஒரு செயலி, ஒரு நபர், சில நாட்கள் செயல்முறை உள்ளமைவைச் சுட்டுகின்றன. ஒரு சாதனத்தின் பின்னால் முழுப் படையும் கேட்வேயையே சுட்டுகிறது. ஹோஸ்ட்டில் நிரந்தர LEGACY கொள்கை தேவைப்படும் எதுவும் தொழில்நுட்ப உடையில் உள்ள கொள்முதல் முடிவு.

நீடித்த திருத்தம் சாதனத்திற்குச் சொந்தம்: TLS 1.2 அல்லது அதற்குப் புதியது, குறைந்தது 2048 பிட் குழு, AEAD மறையாக்கம், நவீன கையொப்பத்துடன் சான்றிதழ். அந்த மாற்றத்தைச் சாதன உரிமையாளரிடம் கேளுங்கள், பின்னர் பேச்சுவார்த்தை செய்யப்பட்ட பதிப்பையும் மறையாக்கத்தையும் வாடிக்கையாளர் பதிவில் உறுதிப்படுத்துங்கள். விதிவிலக்கை ஹோஸ்ட், கேட்வே, பேச்சுவார்த்தை நெறிமுறை, அனுமதிப்பவர் மற்றும் காலாவதி தேதியுடன் எழுதுங்கள், ஏனெனில் தற்காலிகத் தீர்வு இயல்புநிலையாக மாறுவதைத் தடுப்பது அந்தக் குறிப்பே.

தொடர்புடைய கட்டுரைகள்