SECLEVEL=0 அறிகுறியைக் குணப்படுத்துகிறது, சான்றிதழை அல்ல

OpenVPN இணைப்பு தோல்வியடைகிறது, ஒருவர் SECLEVEL=0 சேர்க்கும் ஒரு வரி திருத்தத்தைக் கண்டுபிடிக்கிறார், சுரங்கப்பாதை மேலெழுகிறது. மாறியது சான்றிதழும் அல்ல, சைஃபர் தொகுப்பும் அல்ல; நூலகம் முழுவதும் ஒரு ஏற்பு வாசல் நகர்ந்தது, அதன்பின் செயல்முறை செய்யும் அனைத்தும் புதிய எல்லையை மரபாகப் பெறுகிறது. அதே வரி சூழலின் ஒவ்வொரு சுயவிவரத்திலும் நகலெடுக்கப்படும் முன் இதைப் புரிந்துகொள்வது மதிப்புள்ளது.

எந்த நூலகம் எந்தக் கொள்கை அமலில் உள்ளது என்பதைத் தீர்மானியுங்கள்

SECLEVEL என்பது OpenSSL கருத்தாகும், எனவே முதல் கேள்வி உங்கள் கட்டமைப்பு OpenSSL பயன்படுத்துகிறதா என்பதுதான். OpenVPN ஒன்றுக்கு மேற்பட்ட கிரிப்டோகிராபி நூலகங்களுடன் இணைக்கப்படலாம், அவற்றில் ஒன்றுக்குப் பொருந்தும் அமைப்பு மற்றவற்றுக்கு அர்த்தமற்றது. பைனரியிடம் எதனால் கட்டப்பட்டது எனக் கேளுங்கள், பின்னர் நூலகத்திடம் எந்தப் பதிப்பு மற்றும் உள்ளமைவை ஏற்றியது எனக் கேளுங்கள்:

openvpn --version | head -3
openssl version -a

பதிப்பு வெளியீட்டைக் கவனமாகப் படியுங்கள், ஏனெனில் விநியோகங்கள் இயல்புநிலை மதிப்புகளை இணைப்புச் செய்கின்றன. சிலவை குறைந்தபட்ச நிலையை upstream இயல்புநிலைக்கு மேல் உயர்த்தும் கணினி உள்ளமைவை வழங்குகின்றன, அதனால்தான் ஒரே மாதிரியான OpenVPN தொகுப்புகள் உள்ள இரு இயந்திரங்களில் ஒரே சுயவிவரம் வேறுபட்டு நடந்துகொள்கிறது. பயன்படுத்தப்படும் கொள்கை இயங்கும் செயல்முறை ஏற்றியதே, upstream கையேட்டில் உள்ளது அல்ல.

பின்னர் மக்கள் குழப்பும் இரு அடுக்குகளைப் பிரிக்கவும். OpenVPN க்கு அதன் சொந்த TLS கட்டுப்பாடுகள் உள்ளன, அவற்றில் சான்றிதழ் சுயவிவர அமைப்பு மற்றும் வெளிப்படையான சைஃபர் பட்டியல்கள் அடங்கும், அவை நூலகம் திணிக்கும் அனைத்திற்கும் மேலே நிற்கின்றன. நூலக நிலையைக் குறைப்பது உங்கள் OpenVPN உள்ளமைவு எந்த சைஃபர்களைப் பட்டியலிடுகிறது என்பதை மாற்றாது, OpenVPN பட்டியலைக் குறுகலாக்குவது நூலகத்தின் வாசலை உயர்த்தாது. எந்த அடுக்கு உங்களை நிராகரித்தது என்பதை அறிவதே திருத்தம் ஊகமாகத் தொடராமல் தடுக்கிறது.

நிராகரிக்கப்படக்கூடிய மூன்று விஷயங்களைப் பிரிக்கவும்

முதல் வேட்பாளர் அடையாளப் பொருள்: விசை மிகச் சிறிய சான்றிதழ் அல்லது கையொப்ப வழிமுறையைக் கொள்கை இனி ஏற்காத சான்றிதழ். இரண்டாவது விசைப் பரிமாற்ற அளவுரு, கொள்கை மிகவும் பலவீனமாகக் கருதும் குழு போன்றது. மூன்றாவது கொள்கை விலக்கும் சைஃபர் தொகுப்பு. மூன்றும் கைக்குலுக்கல் தோல்வியை ஏற்படுத்தலாம், பிழை உரையும் பேச்சுவார்த்தை நிலையும் மட்டுமே அவற்றைப் பிரிக்கின்றன.

அந்த மூன்றில் எதுவும் தரவு சேனலின் சைஃபர் அல்ல. OpenVPN அதன் சுரங்கப்பாதை குறியாக்கத்தை TLS கைக்குலுக்கலில் இருந்து தனியாகப் பேசுகிறது, எனவே பாதுகாப்பு நிலை மாறியபின் வெற்றிபெறும் இணைப்பு உங்கள் தரவை எந்த சைஃபர் பாதுகாக்கிறது என்பதைப் பற்றி எதுவும் கூறாது. நீங்கள் உண்மையில் கேட்கும் கேள்வி தரவு ரகசியத்தன்மையைப் பற்றியதாக இருந்தால், நீங்கள் முற்றிலும் தவறான கட்டுப்பாட்டைப் பார்க்கிறீர்கள்.

நிலையைக் குறைப்பது மூன்று உள்ளீடுகளுக்கும் ஏற்பை ஒரே நேரத்தில் விரிவாக்குகிறது. இதைத்தான் மக்கள் தவறவிடுகிறார்கள்: பழைய சான்றிதழை அனுமதிக்கும் திருத்தம் பலவீனமான குழுவையும் நீங்கள் அனுமதிக்க நினைக்காத தொகுப்பையும் அனுமதிக்கிறது. ஒரு பிழை மாற்றத்தைத் தூண்டியது, மாற்றம் பிழையை விட விரிவானது. இந்த சமச்சீரற்ற தன்மையே வரையறுக்கப்பட்ட விதிவிலக்கு முழு சூழலின் இயல்புநிலையை விட சிறந்ததாக இருப்பதற்குக் காரணம்.

உள்ளீட்டை மாற்றுங்கள், வாசலை அல்ல

உள்ளமைவைத் தொடும் முன் சரியான பிழையைச் சேமியுங்கள், அதைப் புகாரளித்த நிலையும் அது பெயரிட்ட பொருளும் உட்பட. சான்றிதழ் சிக்கல் தற்போதைய கொள்கை ஏற்கும் ஒன்றால் சான்றிதழை மாற்றுவதன் மூலம் தீர்க்கப்படுகிறது, அதாவது பொதுவாக அதே கோப்பை மீண்டும் நிறுவுவதற்குப் பதிலாக அதிகாரசபையிடம் மீண்டும் வழங்குவது.

நிராகரிக்கப்பட்ட உள்ளீடு நீங்கள் கட்டுப்படுத்தாத சகாவுக்கு உரியதானால், பேச்சு அதன் உரிமையாளருடன் ஆதரிக்கப்பட்ட மாற்றுப் பொருள் பற்றியது. யாரும் பராமரிக்காத அமைப்பை ஏற்க உங்கள் சொந்த வாசலைக் குறைப்பது செலவை அவர்களிடமிருந்து அவர்களுக்குப் பின் இணையும் அனைவருக்கும் நகர்த்துகிறது.

சேவையகம் கொள்கையை அமல்படுத்தும் இடத்தில், நூலகத்தைக் குற்றம் சாட்டும் முன் OpenVPN நிலை அமைப்பே உண்மையான காரணமா எனச் சரிபாருங்கள். பயன்படுத்தப்பட்ட சான்றிதழ் நிறைவேற்ற முடியாத கடுமையான வகுப்பைக் கோரும் சான்றிதழ் சுயவிவரம் பாதுகாப்பு நிலை எதுவாக இருந்தாலும் தோல்வியடையும், அந்தச் சுயவிவரத்தை அகற்றுவது நூலகச் சரிபார்ப்புகளை முடக்குவதை விடக் குறுகிய மாற்றம்.

குறைக்க வேண்டியிருந்தால், வரம்பிடுங்கள் மற்றும் பதிவு செய்யுங்கள்

சில சமயங்களில் அங்கீகரிக்கப்பட்ட இணக்க விதிவிலக்கே சரியான பதில், குறிப்பாக தேதியிட்ட ஓய்வுத் திட்டமுள்ள பழைய சகாவுக்கு. முழு ஹோஸ்ட்டுக்குப் பதிலாக அதைத் தேவைப்படும் சேவைக்கு வரம்பிடுங்கள்: சேவை-குறிப்பிட்ட உள்ளமைவுக் கோப்பு அல்லது பிரத்யேக OpenSSL உள்ளமைவு உலகளாவிய சுயவிவரத்தில் ஏற்றுமதியை விடச் சிறிய தாக்க வரம்பைக் கொண்டுள்ளது.

விதிவிலக்குடன் நான்கு விஷயங்களை எழுதுங்கள்: சரியான அமைப்பு, அதை அங்கீகரித்த உரிமையாளர், பாதிக்கப்படும் வாடிக்கையாளர்கள், மற்றும் அது அகற்றப்படும் நிபந்தனை. ஓய்வு நிபந்தனையற்ற விதிவிலக்கு தற்காலிக நியாயத்துடன் இணைக்கப்பட்ட நிரந்தர பலவீனம்.

பின்னோக்குத் திரும்புதல் நீங்கள் ஏற்கனவே சோதித்த ஒரே படியாக இருக்க வேண்டும். முந்தைய உள்ளமைவை வைத்திருங்கள், மாற்றத்தைப் பயன்படுத்துங்கள், சேவை தொடங்குகிறது என்பதை உறுதிசெய்யுங்கள், அடுத்த இணைப்பு எதிர்பார்த்ததிலிருந்து வேறுபட்டு நடந்தால் எந்தக் கோப்பை மீட்டெடுக்க வேண்டும் என்பதைத் துல்லியமாக அறியுங்கள்.

பின்னர் அடையாளத்தையும் பாதுகாப்பையும் சரிபார்க்கவும்

வெற்றிகரமான இணைப்பு திருத்தப்பட்ட நிபந்தனைகள் அதை அனுமதித்தன என்பதை மட்டுமே நிரூபிக்கிறது. ஹோஸ்ட் பெயர் மற்றும் சகா சரிபார்ப்பு இன்னும் தன் வேலையைச் செய்கிறது என்பதையும், பயன்படுத்தப்படும் சான்றிதழ் நீங்கள் பயன்படுத்த நினைத்ததே என்பதையும், பேச்சுவார்த்தை செய்யப்பட்ட தரவு சேனல் நீங்கள் நினைக்கும் கொள்கையுடன் பொருந்துகிறது என்பதையும் உறுதிசெய்யுங்கள்.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL பாதுகாப்பு நிலைகளின் குறிப்பு கட்டமைப்பு விசைகள், கையொப்பங்கள், குழுக்கள் மற்றும் தொகுப்புகளுக்கு வரம்புகளை ஒன்றாக விதிக்கிறது என்பதையும், பூஜ்ய நிலை மீள்அழைப்பு சரிபார்க்கும் அனைத்தையும் அனுமதிக்கிறது என்பதையும் தெளிவாகக் கூறுகிறது. நீங்கள் மாற்றியதன் எல்லை அதுவே, திருத்தம் குறுகியதா என்று யாராவது கேட்கும்போது மேற்கோள் காட்ட வேண்டிய வாக்கியமும் அதுவே.

தணிக்கையைத் தாண்டும் ஒப்படைப்பு எந்தக் கொள்கை எந்த உள்ளீட்டை நிராகரித்தது, என்ன மாறியது, அதன் விளைவாக என்ன ஏற்கத்தக்கதாக உள்ளது என்பதைக் கூறுகிறது. „இது SECLEVEL=0 உடன் வேலை செய்கிறது“ என்பது ஒரு இணைப்பைப் பற்றிய கவனிப்பே, பயன்பாட்டின் பாதுகாப்பு மதிப்பீடு அல்ல.