OpenSSL'de SHA1 özet adları: eski bir liste ne anlama gelir

Eski özet listeleri kriptografik kararların bir dökümü gibi okunur, ama öyle değildir. SHA1, DSA-SHA1-old veya RSA-SHA1-2 gibi adlar eski OpenSSL derlemelerinde yan yana durur çünkü kütüphane ilgili karma makinesi etrafında birkaç giriş noktası kaydetmiştir. O listedeki RSA veya DSA etiketi OpenVPN bir pakete ne yaptığı hakkında hiçbir şey söylemez. Okuduğunuz şey kütüphanenin envanteridir, bir oturumun kaydı değil.

Herhangi bir sonuç anlam kazanmadan önce üç şey ayrılmalıdır: kayıtlı ad, altındaki özet hesaplaması ve onu tüketen işlem.

Kayıt bir arayüzdür, güç derecelendirmesi değil

OpenSSL 1.0.2'de özet kayıt tablosu adları, takma adları ve uygulamaları tek bir dosyada birbirine bağlar. Eski DSS1 tanımlayıcısı en açık durumdur: SHA-1'in çıktı uzunluğunu bildirir ve SHA-1'in sonlandırma yordamını çağırır, ama tamamen başka bir algoritmayı ima eden bir ad taşır. Bu nedenle bir kayıttaki ek harfler başka bir karma, daha uzun çıktı veya yeni bir güvenlik düzeyi anlamına gelmez.

Aynı kaynak eski çağıranlar için takma ad ilişkilerini korur, bu da bir listenin neden kalabalık göründüğünü açıklar. Bu uyumluluk belgeleridir, mevcut bir OpenSSL sağlayıcısının aynı adları sunacağına dair bir söz değildir.

İmzalama adları imza oluşturmaz

Bir imzalama çerçevesi, mevcut çağıranlar derlenmeye devam etsin diye bir özeti başka bir algoritmanın arayüzüne bağlayabilir. Gerçek bir açık anahtar imzası hem bir anahtar hem de onu kullanan imzalama adımını gerektirir ve ikisi de bir menüdeki ad tarafından sağlanmaz. RSA tonlu bir özet girdisi çağıranın kullanabileceği bir addır, her VPN paketinin bir RSA imzası taşıdığının kanıtı değildir.

Eski yazılar tam bu adımda folklorlaşır. Paketlerin nasıl kimlik doğrulandığını bilmeniz gerekiyorsa, mekanizmayı seçen seçeneği bulun ve gerçekten çalıştırdığınız sürümde ne yaptığını okuyun. O sürümle gönderilen kılavuz sayfası, önünüzdeki programla eşleşen tek açıklamadır. Arşivlenmiş kılavuzlar yazıldıkları sürümü anlatır ve o sürüm birkaç adlandırma kuralı geride kalmış olabilir.

Adı tüketen seçeneği bulun

OpenVPN 2.6'nın belgelediği paket kimlik doğrulama durumunda, auth HMAC'in kullandığı özeti seçer; bu bir sertifika imzası değil, anahtarlı mesaj kimlik doğrulama yapısıdır. TLS sertifikasının imzalama algoritması el sıkışmanın ayrı bir özelliğidir.

AEAD veri şifrelemesiyle ayrı auth ayarı veri kanalına uygulanmayı bırakır, onun tls-auth için rolü ise ayrı bir soru olarak kalır. Bu nedenle bir özet listesi mevcut paketleri hangi karmanın koruduğunu, hangi TLS paketinin müzakere edildiğini veya karşı tarafın sertifikasının nasıl imzalandığını söyleyemez. Yalnızca etkin yapılandırma ve sürüm buna yanıt verebilir ve yalnızca önünüzdeki bağlantı için.

Gerçekte neye sahip olduğunuzu yazın

OpenVPN sürümünü, bağlı kripto kütüphanesini, profildeki tam seçenekleri ve gerçek bir bağlantının sonucunu yazın. Bu küme, bir özet menüsünün ekran görüntüsünün yanıtlayamadığı soruları yanıtlar ve izlenimler yerine sürümler adlandırdığı için bir sonraki yükseltmeden sonra da kalır.

Her şeyden önce, adı daha güçlü veya daha belirgin kulağa geliyor diye eski bir takma ad seçmeyin. Tüm bağlantı için desteklenen politikayı seçin ve eski adları bir kütüphanenin eskiden kendini nasıl sunduğunun kaydı olarak görün.