Eski bir eş TLS 1.0'ı dayatıyor: istisnayı sınırlayın, ana makineyi değil

TLS 1.0'a takılı tek bir cihaz ya da eski bir sağlayıcı sertifikası daha zayıf bir tabanı dayatabilir. İstisnayı sınırlayın, sonra gerçekte neyin müzakere edildiğini ölçün.

Eski bir cihaz ortaya çıkar, bağlanamaz ve en hızlı görünen onarım, bağlantı başarılana kadar tüm ana makineyi zayıflatmaktır. Bu takas o anda görünmez ve pratikte kalıcıdır, çünkü kimse sonunda çalışan bir tabanı kaldırmaz. Baskıyı birbirinden çok farklı iki arıza yaratır ve bunlardan yalnızca biri şifrelerle ilgilidir. Önce arızayı sınıflandırın, sonra istisnayı yayılamayacağı bir yere koyun.

Bir yönergeyi değiştirmeden önce hatayı ikiye ayırın

Ortak şifre yok ya da protokol sürümü desteklenmiyor diyen sunucu günlük satırı denetim kanalından gelir: iki uç, müzakerenin kendisini nasıl koruyacakları konusunda anlaşamadı. Sunucu sertifikası doğrulama yöntemlerinin hiçbirinin etkin olmadığını söyleyen istemci satırı tamamen başka bir yerden gelir, çünkü o istemci kimin yanıt verdiğini bile denetlemiyor. Veri şifresini değiştirmek ikinci duruma hiçbir şey yapmaz, rol denetimi eklemek birinciye hiçbir şey yapmaz.

Bağlantı kesilmeden önceki son satır yerine her iki taraftaki en erken başarısız satırı alın, çünkü sonuncusu genellikle yalnızca sonuçtur. Sonra istemcinin gerçekte hangi dosyayı açtığını belirleyin: içe aktarılan profil çoğu zaman farklı görünen adlarla iki kez bulunur ve kimsenin okumadığı kopyayı düzenlemek inandırıcı bir değişiklik olmaması yaratır. Çalışan bir süreç başladığı ayarları korur, bu yüzden kaydedilmiş bir dosya yüklenmiş dosya değildir. Aşağıdaki komutlar aynı denemenin istemci müzakeresini sunucunun bakışının yanında gösterir.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Daha zayıf bir taban için doğru yer ikinci dinleyicidir

Cihaz, 2.5 öncesi bir veri kanalıyla TLS 1.0'da durduğunda sunucu, denetim kanalı için daha düşük bir taban ve eski istemcinin tanıdığı bir veri şifresi sunmak zorundadır. Geri dönüş yönergesi tam olarak o eş için vardır, şifre listesi ise modern istemcileri modern paketlerde tutar. İki yönerge de kullanıcıya ya da bağlantıya değil dinleyiciye aittir ve sonradan hiçbir istemci başına seçenek onları daraltmaz. Bu yüzden ana bağlantı noktasındaki tek bir eski cihaz, o bağlantı noktasını paylaşan her eş hakkında bir karardır.

Platform izin veriyorsa eski dinleyiciyi ayrı bir bağlantı noktasında kendi örneği olarak çalıştırın, o bağlantı noktasına yalnızca cihazın adresinden izin verin ve ana hizmeti olduğu gibi bırakın. İkinci dinleyicinin neden var olduğunu, yapılandırmasını taşıyan dosyaya yazın, çünkü aksi halde gelecekteki bir temizlik onu artık olarak okur. Ayrım ancak daha zayıf taban cihazın bittiği yerde bitiyorsa değerlidir.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Eski bir sağlayıcı sertifikası gerçekte neyi bozar

Doğrulama hatası eksik bir rol bağıdır: o olmadan istemci, güvenilen bir CA'ya zincirlenen her sertifikayı kabul eder, o sertifika bir sunucu için düzenlenmiş olsun ya da olmasın. Önce sertifikayı sunucu rolüne bağlayın ve bağı bir ayar düğmesi değil gereklilik olarak görün. Ancak o adımdan sonra hâlâ başarısız olan bir profilin gerçek bir sertifika sorunu vardır.

Anahtar boyutu ya da imza algoritması artık OpenSSL'in varsayılan ilkesini karşılamayan eski bir sağlayıcı sertifikası, denetim kanalında sınırlı bir güvenlik düzeyi değişikliği gerektiren durumdur. Orada düzeyi düşürmek doğrulamayı kapatmaz ve asla boş bir CA, devre dışı doğrulama ya da denetlenmemiş ana makine adıyla birleştirilmemelidir. Satırı ona ihtiyaç duyan tek profilin içinde tutun; gevşetilmiş bir OpenSSL yapılandırmasını genel olarak dışa aktarmak, aynı gevşetmeyi makinedeki her programa verirdi.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Afişi değil, müzakere edilen değerleri okuyun

verbosity 4 düzeyinde iki uç da üzerinde anlaştıkları denetim kanalı TLS sürümünü ve şifresini, oturumun veri şifresini yazdırır. Başlangıç afişi yerine o satırları okuyun, çünkü afiş başarıyı bildirir, koşullarını değil. Sonra modern bir istemciyi ana dinleyiciye yeniden bağlayın ve hâlâ modern bir pakete indiğini doğrulayın, çünkü paylaşılan yapılandırmaya sızan bir istisna ilk burada görünür. Kopyaladığınız değerler bir sonraki incelemenin temeli olur.

Eski cihazı tek başına test edin: bağlanmalı ve günlüklerde daha zayıf parametreleri gösteren tek oturum o olmalıdır. İkinci bir eş de eski paketi müzakere ediyorsa istisna amaçlanandan daha geniştir ve dinleyici ayrımı gerçekte olmamıştır. Yalnızca sonucu değil, iki gözlemi de kaydedin.

Her istisnanın bir sahibi ve bir tarihi olmalı

Kaldırma koşulu olmayan bir istisna sessizce varsayılan olur, bu yüzden cihazı, sahibi, nedeni ve kaybolacağı tarihi, onu haklı çıkaran yapılandırmanın yanına koyun. O satır olmadan daha zayıf taban, ona ihtiyaç duyan donanımdan daha uzun yaşar.

İstemciyi değiştirmek ya da sağlayıcıdan güncel bir profil istemek hedeflenmesi gereken sonuçtur; istisna bir tasarım değil ertelemedir. Cihaz emekliye ayrıldığında dinleyiciyi ve profili aynı değişiklikte kaldırın, böylece hiçbir yarısı çalışmaya devam etmez. Bunların hiçbiri eski parametreleri güvenli yapmaz, yalnızca bir cihazın sınırının herkesin temeli olmasını engeller.

İlgili makaleler