OpenSSL'dagi SHA1 daydjest nomlari: eski ro'yxat nimani anglatadi

Eski daydjest ro'yxatlari kriptografik qarorlarning stenogrammasi kabi o'qiladi, lekin ular bunday emas. SHA1, DSA-SHA1-old yoki RSA-SHA1-2 kabi nomlar eski OpenSSL buildlarida yonma-yon turadi, chunki kutubxona bog'liq hash mexanizmi atrofida bir nechta kirish nuqtasini ro'yxatga olgan. O'sha ro'yxatdagi RSA yoki DSA yorlig'i OpenVPN paket bilan nima qilgani haqida hech narsa aytmaydi. Siz o'qiyotgan narsa kutubxona inventari, sessiya yozuvi emas.

Har qanday xulosa mazmunli bo'lishidan oldin uch narsani ajratish kerak: ro'yxatga olingan nom, uning ostidagi daydjest hisobi va uni iste'mol qiluvchi amal.

Ro'yxatga olish interfeysdir, kuch bahosi emas

OpenSSL 1.0.2'da daydjest ro'yxatga olish jadvali nomlar, taxalluslar va amalga oshirishlarni bitta faylda bog'laydi. Eski DSS1 tavsiflagichi eng aniq holat: u SHA-1 chiqish uzunligini bildiradi va SHA-1 yakunlash tartibini chaqiradi, ammo butunlay boshqa algoritmni nazarda tutuvchi nomni olib yuradi. Shuning uchun ro'yxatga olishdagi qo'shimcha harflar boshqa hash, uzunroq chiqish yoki yangi xavfsizlik darajasini bildirmaydi.

Xuddi shu manba eski chaqiruvchilar uchun taxallus munosabatlarini saqlaydi, bu ro'yxat nega to'la ko'rinishini tushuntiradi. Bu moslik hujjati, hozirgi OpenSSL provayderi bir xil nomlarni ko'rsatadi degan va'da emas.

Imzolash nomlari imzo yaratmaydi

Imzolash tizimi daydjestni boshqa algoritm interfeysiga bog'lashi mumkin, shunda mavjud chaqiruvchilar kompilyatsiyada davom etadi. Haqiqiy ochiq kalit imzosi kalitni ham, uni ishlatadigan imzolash qadamini ham talab qiladi va hech birini menyudagi nom bermaydi. RSA ta'mli daydjest yozuvi chaqiruvchi ishlatishi mumkin bo'lgan nom, har bir VPN paketi RSA imzosini olib yurganiga dalil emas.

Aynan shu qadamda eski yozuvlar folklor o'tadi. Paketlar qanday autentifikatsiya qilinganini bilish kerak bo'lsa, mexanizmni tanlagan parametrni toping va u siz haqiqatda ishga tushirgan versiyada nima qilishini o'qing. O'sha nashr bilan kelgan qo'llanma sahifasi oldingizdagi dasturga mos keladigan yagona tavsifdir. Arxivlangan qo'llanmalar o'zlari yozilgan nashrni tasvirlaydi va u bir nechta nomlash konvensiyasidan orqada qolgan bo'lishi mumkin.

Nomni iste'mol qilgan parametrni toping

OpenVPN 2.6 hujjatlashtirgan paket autentifikatsiyasi holatida auth HMAC ishlatadigan daydjestni tanlaydi, bu sertifikat imzosi emas, kalitli xabar autentifikatsiyasi tuzilmasi. TLS sertifikatining imzolash algoritmi qo'l berishning alohida xususiyati.

AEAD ma'lumot shifri bilan alohida auth sozlamasi ma'lumot kanaliga qo'llanilishini to'xtatadi, uning tls-auth uchun roli esa alohida savol bo'lib qoladi. Shuning uchun daydjest ro'yxati hozirgi paketlarni qaysi hash himoya qilganini, qaysi TLS to'plami kelishilganini yoki hamkor sertifikati qanday imzolanganini ayta olmaydi. Faqat amaldagi konfiguratsiya va versiya bunga javob bera oladi, va faqat oldingizdagi ulanish uchun.

Haqiqatda nima borligini yozib qo'ying

OpenVPN versiyasini, bog'langan kripto kutubxonasini, profildagi aniq parametrlarni va haqiqiy ulanish natijasini yozib qo'ying. Bu to'plam daydjest menyusining skrinshoti javob bera olmaydigan savollarga javob beradi va keyingi yangilanishdan keyin ham saqlanib qoladi, chunki taassurotlarni emas, versiyalarni nomlaydi.

Eng avvalo, nomi kuchliroq yoki aniqroq eshitilgani uchun eski taxallusni tanlamang. Butun ulanish uchun qo'llab-quvvatlanadigan siyosatni tanlang va eski nomlarga kutubxona o'zini ilgari qanday taqdim etganining yozuvi sifatida qarang.