OpenSSL 3 dan keyin OpenVPN kaliti so‘rovi: provayderni tekshiring

Hech kim profilga tegmagan, ammo o‘sha mijoz endi har ishga tushganda shaxsiy kalit uchun parol iborasini so‘raydi. Bu o‘zgarish distributiv yangilanishidan keyin bir necha kun ichida yuz bersa, ehtimoliy sabab yangilanishning o‘zi: OpenSSL 3 algoritm qo‘llab-quvvatlashini qayta tashkil etdi va eski kutubxona bemalol o‘qigan kalit bitta bayt ham o‘zgarmasdan o‘qilmaydigan bo‘lib qolishi mumkin. Tekshiruvlarni tartib bilan bajaring, chunki faqat so‘rovga qarab ularning ikkitasi bir xil ko‘rinadi.

Birinchi savol — kalit shifrlanganmi, ikkinchisi — bu build uni shifrdan chiqara oladimi. Konfiguratsiya o‘zgarishlari ikkala javob ma’lum bo‘lgandagina mantiqiy.

Kalit shifrlanganmi yoki yo‘qmi tekshiring

Faylning birinchi qatorini o‘qing va keyin kutubxona uni tahlil qilishiga ruxsat bering, chunki fayl nomi hech narsani isbotlamaydi. Yorliqli PEM bloki ENCRYPTED PRIVATE KEY shifrlangan PKCS#8 bo‘lib, eskiroq RSA PRIVATE KEY bloki Proc-Type: 4,ENCRYPTED ni olib yurgani an’anaviy shakldir, ikkalasi ham parol iborasini kutadi. Shifrlanmagan PRIVATE KEY bloki uni umuman so‘ramasligi kerak. Tahlilni faylga egalik qiluvchi hisob bilan ishga tushiring, chunki ruxsat muammosi boshqacha va ancha qiziqarsiz xato beradi.

Agar kalit haqiqatan shifrlanmagan bo‘lsa-yu, mijoz hali ham so‘rasa, kriptografiyaga qarashni to‘xtating va profil xizmat hali o‘qiy oladigan askpass faylini ko‘rsatadimi-yo‘qmi tekshiring.

Bu build uni shifrdan chiqara oladimi, tekshiring

OpenSSL 3 algoritm qo‘llab-quvvatlashini provayderlarga bo‘ldi va eski shifrlar to‘plami endi standart provayderda emas, legacy provayderida turadi. O‘sha shifrlardan biri bilan shifrlangan kalit amalda qoladi, lekin legacy provayderisiz yuklangan kutubxona uni shifrdan chiqara olmaydi. Ba’zi mijozlarda bu takrorlanuvchi so‘rov sifatida, boshqalarida parol iborasidan darhol keyin qattiq muvaffaqiyatsizlik sifatida ko‘rinadi.

O‘sha kalitni o‘sha binar bilan ikki marta tahlil qiling: avval faqat standart provayder bilan, keyin buyruq satrida legacy va standart ikkalasi ham so‘ralgan holda. Ikkinchi urinish birinchisi muvaffaqiyatsiz bo‘lgan joyda muvaffaqiyatli bo‘lsa, tashxis yangilanish vaqtiga emas, dalilga tayanadi. Ikkalasi ham bir xil muvaffaqiyatsiz bo‘lsa, parol iborasi xato yoki fayl shikastlangan, va hech qanday provayder sozlamasi ikkalasini ham tuzatmaydi.

Mavjud eng tor tuzatishni tekshiring

Butun tizim o‘zgarishidan ko‘ra mijoz bilan cheklangan o‘zgarishni afzal ko‘ring. Ba’zi 2.6 buildlar o‘sha daemon jarayoni uchun ikkala provayderni yuklaydigan profil opsiyasini qabul qiladi, shuning uchun unga tayanishdan oldin aniq versiyangiz uchun qo‘llanmada ko‘rsatmani tasdiqlang; buning o‘rniga tizim openssl.cnf faylini tahrirlash hostdagi har bir OpenSSL dasturiga ta’sir qiladi. Torroq sozlama kalit qayta kodlangandan keyin qaytarish uchun ham ancha oson.

So‘rov yo‘qolishi uchun parol iborasini o‘chirmang. Bu himoyalangan hisob ma’lumotlarini oddiy matn fayliga aylantiradi va u paydo bo‘ladigan har bir zaxira nusxa, nusxa va qo‘llab-quvvatlash to‘plamining xavfini jimgina o‘zgartiradi. Muhim farq o‘z parol iborasiga muhtoj kalit bilan bu kutubxona shifrdan chiqara olmaydigan kalit o‘rtasida.

Xizmat kontekstini tekshiring, keyin qayta kodlang

Kalitni ochish mumkin bo‘lgach, uni zamonaviy algoritm bilan qayta shifrlang qaramlik yo‘qolishi uchun. Yangi faylni zamonaviy shifr bilan yozing, uning tahlil qilinishini tekshiring, profilni yangilang va eski nusxani faqat ulanish muvaffaqiyatli bo‘lguncha saqlang. Parol iborasini hech qachon buyruq satriga qo‘ymang, u yerda har qanday mahalliy foydalanuvchi uni jarayonlar ro‘yxatidan o‘qiy oladi. Eski faylni faqat yangi fayl xizmat hisobidan ulangandan keyin o‘chiring, faqat sizning shellingizdan emas.

Keyin mijozni haqiqatan ishga tushiruvchi birlikni tekshiring. Shellingizda o‘qiladigan kalit boshqa hisob ostida yoki qattiqlashtirilgan uy katalogi sozlamasi bilan ishlaydigan xizmat uchun o‘qilmaydigan bo‘lishi mumkin.

Provayder sozlamasini profil yoniga yozib qo‘ying va ikki buyruqli testni u bilan birga saqlang. Keyingi yangilanish legacy provayderini olib tashlasa, o‘sha testni yana ishga tushirib, kalitga hali ham u kerakmi yoki profilni bu vaqtinchalik yechimdan chiqarish mumkinmi, ko‘ring.

So‘rov kamida uchta sababi bo‘lgan alomatdir va ulardan faqat bittasi yo‘qolgan parol iborasidir.