OpenVPN TLS சைஃபர் பிழை: முதலில் இரு தரப்பையும் ஒப்பிடுங்கள்

«பொது சைஃபர் இல்லை» என்ற பிழை ஒரே அமைப்பை மாற்றினால் போதும் எனத் தோன்றும், ஆனால் பெரும்பாலானவர்கள் மாற்றும் அமைப்பே தவறானது. OpenVPN TLS கைக்குலுக்கல் செய்யும் கட்டுப்பாட்டு சேனலுக்கும், சுரங்கப்பாதைக்குள் பாக்கெட்டுகளை எடுத்துச் செல்லும் தரவு சேனலுக்கும் தனித்தனி கொள்கைகளை வைத்திருக்கிறது, பிழை முதலாவதைக் குறிக்கும் போது மக்கள் இரண்டாவதைத் திருத்துகிறார்கள். ஒவ்வொரு தரப்பும் எதை அனுமதிக்கிறது என்பதை சரியான வரிசையில் ஒப்பிடுவது ஊகத்தை இரண்டு அல்லது மூன்று முடிவுகளாக மாற்றும்: பதிப்பு, பின்னர் சூட் பட்டியல், பின்னர் சான்றுகள்.

இந்த வரிசையைத் தவறவிட்டால், ஒருபோதும் பார்க்கப்படாத பட்டியலில் AES பெயரைச் சேர்க்க ஒரு மணி நேரம் வீணாகலாம்.

இரண்டு சைஃபர் பட்டியல்கள், கைக்குலுக்கலை உடைப்பது ஒன்றே

கட்டுப்பாட்டு சேனல் ஒரு TLS அமர்வைப் பேசி முடிவு செய்கிறது, அதன் கொள்கை இதனால் எழுதப்படுகிறது: tls-cipher TLS 1.2 க்கு மற்றும் tls-ciphersuites TLS 1.3 க்கு. தரவு சேனல் தனியாக இதனால் அமைக்கப்படுகிறது: data-ciphers, இங்கு பொருந்தாமை இணைப்பு நிறுவப்பட்டு பின்னர் போக்குவரத்தைக் கடக்க முடியாத நிலையை உருவாக்குகிறது. இரண்டும் சைஃபரைக் குறிப்பிடும் பிழைகளைத் தருகின்றன, அதனால் அவை குழப்பப்படுகின்றன. ஒருபோதும் முடிவடையாத கைக்குலுக்கல் கட்டுப்பாட்டு சேனலைச் சுட்டுகிறது, ஆனால் நிறுவப்பட்ட சுரங்கப்பாதை பாக்கெட்டுகளை வீழ்த்தினால் அது தரவு சேனலைச் சுட்டுகிறது.

முதல் வரிக்குப் பதிலாக முழு செய்தியையும் படியுங்கள். பதிப்பு பொருந்தாமை, விடுபட்ட சூட், தரப்பு நிராகரிக்கும் சான்றிதழ் கையொப்ப வழிமுறை, மற்றும் புரவலர் பெயர் சரிபார்ப்பு தோல்வி—அனைத்தும் TLS பிழையில் முடிகின்றன, அவற்றில் ஒன்று மட்டுமே உங்கள் சூட் பட்டியலைப் பற்றியது. இந்த வகைகளைப் பிரிப்பதே கண்டறிதலின் பெரும் பகுதி.

சூட்களை ஒப்பிடும் முன் பதிப்புகளை ஒப்பிடுங்கள்

TLS 1.2 வரை வரையறுக்கப்பட்ட தரப்பும் 1.3 தேவை எனக் கொள்ளும் தரப்பும் பொது பதிப்பைப் பகிரவில்லை, எந்த சைஃபர் சரமும் அதை இணைக்கவில்லை. இரு பக்கமும் tls-version-min மற்றும் tls-version-max பதிவு செய்யுங்கள், அல்லது பயன்படுத்தப்படும் கட்டமைப்புகளின் இயல்புநிலைகள், ஏனெனில் ஒரு விநியோகத்தின் OpenSSL கொள்கை எந்த OpenVPN விருப்பமும் சொல்லாமலேயே குறைந்தபட்ச வரம்பை உயர்த்தக்கூடும். ஒரு தரப்பு சாதனமோ மூன்றாம் தரப்பு வாடிக்கையாளரோ என்றால், அதன் சாளரம் அதன் திட்பொருள் அனுமதிப்பதே. சாளரங்கள் ஒன்றுடன் ஒன்று மேற்பொருந்திய பிறகே சூட் ஒப்பீட்டுக்கு அர்த்தம் உள்ளது.

அந்தப் பதிவுகள் உண்மையான இருமக் கோப்புகளையும் பெயரிட வேண்டும். உங்கள் மடிக்கணினியில் கட்டளை வரி openvpn இறக்குமதி செய்யப்பட்ட சுயவிவரத்தைக் கையாளும் வாடிக்கையாளராக இருக்க வேண்டியதில்லை.

TLS 1.2 மற்றும் TLS 1.3 பட்டியல்கள் கலக்காது

TLS 1.2 சூட் பெயர்கள் இப்படித் தோன்றும்: ECDHE-RSA-AES256-GCM-SHA384 மேலும் அவை tls-cipher இல் சேர்கின்றன, அது OpenSSL சைஃபர் சரத்தை ஏற்கிறது. TLS 1.3 சூட்களின் பெயர் இப்படி: TLS_AES_256_GCM_SHA384 மேலும் அவை tls-ciphersuites இல் சேர்கின்றன; 1.2 சரத்தில் ஒன்றைச் சேர்ப்பது 1.3 பட்டியலை அமைக்காது, பகுப்பான் ஒருபோதும் பொருத்தாமலேயே உரையை ஏற்கக்கூடும். ஒரு பதிப்புக்கு சரியான வடிகட்டி மற்றதைப் பற்றி எதுவும் சொல்லாது. எந்தப் பட்டியல் எந்தப் பதிப்புக்கு என எழுதி வையுங்கள்.

openvpn --show-tls உள்ளூர் கட்டமைப்பு எதை ஆதரிக்கிறது என்பதை அச்சிடுகிறது, அது பட்டியல் அல்ல, வாக்குறுதி அல்ல: தொலைத் தரப்பு அந்த சூட்களை அனுமதிக்காமல் இருக்கலாம், செயலில் உள்ள சுயவிவரம் அவற்றை இயக்காமல் இருக்கலாம். எந்த சூட்டையும் வழங்க முடியாத கட்டமைப்பை விலக்க இதைப் பயன்படுத்தி, பின்னர் அமைக்கப்பட்ட பட்டியல்களை ஒப்பிடுங்கள்.

புதிய இணைப்பில் பேரத்தை நிரூபியுங்கள்

வெற்றிகரமான கைக்குலுக்கலே கணக்கில் எடுக்கப்படும் ஒரே சான்று, அது உண்மையான வாடிக்கையாளரிடமிருந்து உண்மையான சுயவிவரத்துடன் வர வேண்டும். சேவையகத்தின் விவர அளவை உயர்த்தி, ஒருமுறை இணைந்து, முதலில் வழங்கப்பட்ட மதிப்பே வென்றது எனக் கருதாமல் பதிவிலிருந்து பேசி முடிவு செய்யப்பட்ட நெறிமுறை பதிப்பையும் சூட்டையும் படியுங்கள். பின்னர் சுரங்கப்பாதை வழியாகப் போக்குவரத்துடன் தரவு சேனலைத் தனியாக உறுதிப்படுத்துங்கள், ஏனெனில் வேலை செய்யும் கைக்குலுக்கலும் தோல்வியடையும் தரவு சேனலும் வெவ்வேறு பழுதுநீக்கங்கள். எந்தவொரு அமைப்பு மாற்றத்திற்குப் பிறகும் திரும்பச் செய்யுங்கள், ஏனெனில் பழைய வாடிக்கையாளர் சுயவிவரம் பொதுவான தவறான எதிர்மறைக் காரணம்.

அங்கீகரிக்கப்பட்ட பொது அமைப்பு இல்லை என்றால், பதில் மேம்படுத்தல் அல்லது இடம்பெயர்வுத் திட்டம், பலவீனப்படுத்தப்பட்ட கொள்கை அல்ல. tls-version-min குறைப்பது, சரிபார்ப்பை அணைப்பது அல்லது அனைத்து பழைய சூட்களையும் இயக்குவது அதை உருவாக்கிய பாதுகாப்புத் தேவையை நிறைவேற்றாமல் நிராகரிப்பை நீக்குகிறது.

மாற்ற டிக்கெட்டில் பேசி முடிவு செய்யப்பட்ட பதிப்பு, சூட் மற்றும் தரவு சைஃபரைப் பதிவு செய்யுங்கள். அடுத்த முறை TLS பிழையைச் சந்திக்கும் நபர் மன்ற இடுகையில் கிடைத்த சைஃபர் சரத்திலிருந்து அல்ல, அந்தப் பதிவிலிருந்து தொடங்குவார்.