ఒక పాత పీర్ TLS 1.0 ను బలవంతం చేస్తుంది: మినహాయింపును పరిమితం చేయండి, హోస్ట్ కాదు

ఒక పాత పరికరం కనిపిస్తుంది, కనెక్ట్ కాలేదు, మరియు అత్యంత వేగవంతమైన మరమ్మత్తు కనెక్షన్ విజయవంతమయ్యే వరకు మొత్తం హోస్ట్ను బలహీనపరచడం. ఆ మార్పిడి ఆ క్షణంలో కనిపించదు మరియు ఆచరణలో శాశ్వతం, ఎందుకంటే చివరికి పనిచేసే కనీస పరిమితిని ఎవరూ తొలగించరు. ఒత్తిడిని రెండు పూర్తిగా భిన్నమైన లోపాలు సృష్టిస్తాయి, వాటిలో ఒకటి మాత్రమే సైఫర్ల గురించి. మొదట లోపాన్ని వర్గీకరించి, ఆపై మినహాయింపును అది వ్యాపించలేని చోట ఉంచండి.

ఒక ఆదేశాన్ని మార్చే ముందు వైఫల్యాన్ని రెండుగా విభజించండి

ఉమ్మడి సైఫర్ లేదు లేదా మద్దతు లేని ప్రోటోకాల్ వెర్షన్ అనే సర్వర్ లాగ్ లైన్ నియంత్రణ ఛానెల్ నుండి వస్తుంది: రెండు చివరలు సంప్రదింపును దానినే ఎలా రక్షించాలనే దానిపై ఏకీభవించలేకపోయాయి. సర్వర్ సర్టిఫికెట్ ధృవీకరణ పద్ధతి ఏదీ సక్రియంగా లేదనే క్లయింట్ లైన్ పూర్తిగా వేరే చోటి నుండి వస్తుంది, ఎందుకంటే ఆ క్లయింట్ ఎవరు సమాధానం ఇచ్చారో కూడా తనిఖీ చేయదు. డేటా సైఫర్ను మార్చడం రెండవ సందర్భానికి ఏమీ చేయదు, పాత్ర తనిఖీని జోడించడం మొదటి సందర్భానికి ఏమీ చేయదు.

డిస్కనెక్ట్కు ముందున్న చివరి లైన్ కాదు, ప్రతి వైపు నుండి అత్యంత మునుపటి వైఫల్య లైన్ తీసుకోండి, ఎందుకంటే చివరిది సాధారణంగా కేవలం పరిణామం. ఆపై క్లయింట్ నిజంగా ఏ ఫైల్ను తెరిచిందో నిర్ధారించండి: దిగుమతి చేసుకున్న ప్రొఫైల్ తరచుగా వేర్వేరు ప్రదర్శన పేర్లలో రెండుసార్లు ఉంటుంది, ఎవరూ చదవని ప్రతిని సవరించడం నమ్మదగిన మార్పు-లేనితనాన్ని సృష్టిస్తుంది. నడుస్తున్న ప్రక్రియ ప్రారంభించిన అమరికలను నిలుపుకుంటుంది, కాబట్టి సేవ్ చేసిన ఫైల్ లోడ్ చేసిన ఫైల్ కాదు. క్రింది ఆదేశాలు అదే ప్రయత్నం యొక్క క్లయింట్ సంప్రదింపు మరియు సర్వర్ దృష్టిని పక్కపక్కన చూపుతాయి.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

బలహీన కనీస పరిమితికి రెండవ శ్రోతే నిజాయితీ ప్రదేశం

పరికరం 2.5 కంటే ముందున్న డేటా ఛానెల్తో TLS 1.0 వద్ద ఆగినప్పుడు, సర్వర్ నియంత్రణ ఛానెల్ యొక్క తక్కువ కనీస పరిమితిని మరియు పాత క్లయింట్ గుర్తించే డేటా సైఫర్ను అందించాలి. ఫాల్బ్యాక్ ఆదేశం సరిగ్గా ఆ పీర్ కోసమే ఉంది, సైఫర్ జాబితా ఆధునిక క్లయింట్లను ఆధునిక సెట్లలో ఉంచుతుంది. రెండు ఆదేశాలు వినియోగదారు లేదా కనెక్షన్కు కాదు, శ్రోతకే చెందుతాయి, మరియు తర్వాత ఏ ప్రతి-క్లయింట్ ఎంపిక వాటిని సంకుచితం చేయదు. అందుకే ప్రధాన పోర్టులో ఒక పాత పరికరం ఉండటం ఆ పోర్టును పంచుకునే ప్రతి పీర్ గురించి నిర్ణయం.

ప్లాట్ఫారమ్ అనుమతించిన చోట, పాత శ్రోతను వేరే పోర్టులో దాని స్వంత ఇన్స్టాన్స్గా అమలు చేయండి, ఆ పోర్టును పరికరం చిరునామా నుండి మాత్రమే అనుమతించండి, ప్రధాన సేవను ఏమీ చేయకుండా వదిలేయండి. రెండవ శ్రోత ఎందుకు ఉందో దాని కాన్ఫిగరేషన్ ఉన్న ఫైల్లో రాయండి, లేకపోతే భవిష్యత్ శుభ్రత దానిని మిగిలిన చెత్తగా చదువుతుంది. బలహీన కనీస పరిమితి పరికరం ముగిసే చోటే ముగిస్తే మాత్రమే ఈ విభజన విలువైనది.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

పాత ప్రొవైడర్ సర్టిఫికెట్ నిజంగా ఏమి విరుస్తుంది

ధృవీకరణ లోపం అనేది తప్పిపోయిన పాత్ర బంధం: అది లేకుండా క్లయింట్ విశ్వసనీయ CA కు గొలుసుగా కలిసే ఏ సర్టిఫికెట్నైనా అంగీకరిస్తుంది, అది సర్వర్ కోసం జారీ చేయబడిందా లేదా అనేది పరిగణించకుండా. మొదట సర్టిఫికెట్ను సర్వర్ పాత్రకు బంధించి, బంధాన్ని ట్యూనింగ్ నాబ్ కాదు, అవసరంగా పరిగణించండి. ఆ దశ తర్వాత కూడా విఫలమయ్యే ప్రొఫైల్కు మాత్రమే నిజమైన సర్టిఫికెట్ సమస్య ఉంటుంది.

కీ పరిమాణం లేదా సంతకం అల్గోరిథం ఇకపై OpenSSL డిఫాల్ట్ విధానాన్ని నెరవేర్చని పాత ప్రొవైడర్ సర్టిఫికెట్ నియంత్రణ ఛానెల్లో పరిమిత భద్రతా స్థాయి మార్పుకు సంబంధించిన సందర్భం. అక్కడ స్థాయిని తగ్గించడం ధృవీకరణను ఆపదు, మరియు దానిని ఎప్పుడూ ఖాళీ CA, నిష్క్రియ ధృవీకరణ లేదా తనిఖీ చేయని హోస్ట్నామ్తో కలపకూడదు. ఆ లైన్ను దానికి అవసరమైన ఒకే ప్రొఫైల్ లోపల ఉంచండి; సడలించిన OpenSSL కాన్ఫిగరేషన్ను ప్రపంచవ్యాప్తంగా ఎగుమతి చేయడం యంత్రంలోని ప్రతి ప్రోగ్రామ్కు అదే సడలింపును ఇస్తుంది.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

బ్యానర్ కాదు, సంప్రదించిన విలువలను చదవండి

verbosity 4 వద్ద రెండు చివరలు అంగీకరించిన నియంత్రణ ఛానెల్ TLS వెర్షన్ మరియు సైఫర్ను, సెషన్ డేటా సైఫర్ను ముద్రిస్తాయి. ప్రారంభ బ్యానర్ కాదు, ఆ లైన్లను చదవండి, ఎందుకంటే బ్యానర్ విజయాన్ని నివేదిస్తుంది, దాని షరతులను కాదు. ఆపై ఆధునిక క్లయింట్ను ప్రధాన శ్రోతకు తిరిగి కనెక్ట్ చేసి అది ఇప్పటికీ ఆధునిక సెట్లో దిగుతుందని నిర్ధారించండి, ఎందుకంటే పంచుకున్న కాన్ఫిగరేషన్లోకి లీక్ అయిన మినహాయింపు మొదట ఇక్కడే కనిపిస్తుంది. మీరు కాపీ చేసే విలువలు తదుపరి సమీక్షకు ఆధారం అవుతాయి.

పాత పరికరాన్ని ఒంటరిగా పరీక్షించండి: అది కనెక్ట్ కావాలి, మరియు లాగ్లలో బలహీన పరామితులను చూపే ఏకైక సెషన్ అదే అయి ఉండాలి. రెండవ పీర్ కూడా పాత సెట్ను సంప్రదిస్తే, మినహాయింపు ఉద్దేశించిన దానికంటే విస్తృతం మరియు శ్రోత విభజన నిజంగా జరగలేదు. ముగింపు మాత్రమే కాదు, రెండు పరిశీలనలను నమోదు చేయండి.

ప్రతి మినహాయింపుకు యజమాని మరియు తేదీ అవసరం

తొలగింపు షరతు లేని మినహాయింపు నిశ్శబ్దంగా డిఫాల్ట్ అవుతుంది, కాబట్టి పరికరం, యజమాని, కారణం, అది మాయమయ్యే తేదీని అది సమర్థించే కాన్ఫిగరేషన్ పక్కన ఉంచండి. ఆ లైన్ లేకపోతే బలహీన కనీస పరిమితి దానికి అవసరమైన హార్డ్వేర్ కంటే ఎక్కువ కాలం జీవిస్తుంది.

క్లయింట్ను భర్తీ చేయడం, లేదా ప్రొవైడర్ను ప్రస్తుత ప్రొఫైల్ అడగడం, లక్ష్యంగా పెట్టుకోవాల్సిన ఫలితం; మినహాయింపు డిజైన్ కాదు, ఆలస్యం. పరికరం విరమించినప్పుడు, శ్రోతను మరియు ప్రొఫైల్ను ఒకే మార్పులో తొలగించండి, అంతేని ఏ సగం నడుస్తూ ఉండదు. ఇవేవీ పాత పరామితులను సురక్షితం చేయవు, ఒక పరికరం పరిమితి అందరి ఆధారం కాకుండా మాత్రమే నిరోధిస్తాయి.