SECLEVEL=0 simptomni davolaydi, sertifikatni emas

OpenVPN ulanishi muvaffaqiyatsiz bo'ladi, kimdir SECLEVEL=0 qo'shadigan bir qatorli tuzatishni topadi va tunnel ko'tariladi. O'zgargan narsa sertifikat ham, shifrlar to'plami ham emas; kutubxona miqyosidagi qabul chegarasi siljidi va jarayon keyin qiladigan barcha ishlar yangi chegarani meros oladi. Xuddi shu qator muhitdagi har bir profilga ko'chirilishidan oldin buni tushunishga arziydi.

Qaysi kutubxona va qaysi siyosat amalda ekanini aniqlang

SECLEVEL — OpenSSL tushunchasi, shuning uchun birinchi savol: sizning build OpenSSL ishlatadimi. OpenVPN bir nechta kriptografiya kutubxonalariga bog'lanishi mumkin va ulardan biriga tegishli sozlama qolganlari uchun ma'nosiz. Binar fayldan nima bilan qurilganini so'rang, so'ngra kutubxonadan qaysi versiya va konfiguratsiyani yuklaganini so'rang:

openvpn --version | head -3
openssl version -a

Versiya chiqishini diqqat bilan o'qing, chunki distributivlar standart qiymatlarni yamaydi. Ba'zilari minimal darajani upstream standartidan yuqoriga ko'taradigan tizim konfiguratsiyasini yetkazadi, shuning uchun bir xil OpenVPN paketlari bo'lgan ikki mashinada bir xil profil turlicha ishlaydi. Amaldagi siyosat — ishlab turgan jarayon yuklagan siyosat, upstream qo'llanmasidagi emas.

So'ngra odamlar chalkashtiradigan ikki qatlamni ajrating. OpenVPN ning o'z TLS boshqaruvlari bor, jumladan sertifikat profili sozlamasi va aniq shifr ro'yxatlari, va ular kutubxona talab qiladigan hamma narsadan yuqori turadi. Kutubxona darajasini pasaytirish OpenVPN konfiguratsiyangiz qaysi shifrlarni sanashini o'zgartirmaydi va OpenVPN ro'yxatini toraytirish kutubxona chegarasini ko'tarmaydi. Qaysi qatlam sizni rad etganini bilish tuzatishning taxmin bo'lib qolmasligini ta'minlaydi.

Rad etilishi mumkin bo'lgan uchta narsani ajrating

Birinchi nomzod — shaxs materiali: kaliti juda kichik sertifikat yoki imzo algoritmini siyosat endi qabul qilmaydigan sertifikat. Ikkinchisi — kalit almashinuvi parametri, masalan, siyosat juda zaif deb hisoblaydigan guruh. Uchinchisi — siyosat istisno qiladigan shifrlar to'plami. Uchalasi ham qo'l siqish xatosini keltirib chiqarishi mumkin va ularni faqat xato matni va muzokaralar bosqichi ajratadi.

Bu uchalasining hech biri ma'lumot kanalining shifri emas. OpenVPN tunnel shifrlashini TLS qo'l siqishidan alohida muzokara qiladi, shuning uchun xavfsizlik darajasi o'zgargandan keyin muvaffaqiyatli bo'lgan ulanish ma'lumotlaringizni qaysi shifr himoya qilishi haqida hech narsa demaydi. Agar haqiqatan so'rayotgan savolingiz ma'lumotlar maxfiyligi haqida bo'lsa, siz butunlay noto'g'ri dastakka qarayapsiz.

Darajani pasaytirish uchta kiritish uchun qabulni bir vaqtda kengaytiradi. Odamlar o'tkazib yuboradigan qism shu: eski sertifikatni qabul qiladigan tuzatish zaif guruhni va siz ruxsat berishni nazarda tutmagan to'plamni ham qabul qiladi. Bitta xato o'zgarishga sabab bo'ldi va o'zgarish xatodan kengroq. Bu assimetriya cheklangan istisno butun muhit uchun standart qiymatdan yaxshiroq bo'lishining sababidir.

Kiritishni o'zgartiring, chegarani emas

Konfiguratsiyaga tegishdan oldin aniq xatoni saqlang, uni xabar qilgan bosqich va u ko'rsatgan obyektni ham qo'shib. Sertifikat muammosi sertifikatni joriy siyosat qabul qiladigan narsa bilan almashtirish orqali hal qilinadi, bu odatda uni organ orqali qayta chiqarishni anglatadi, xuddi shu faylni qayta o'rnatishni emas.

Agar rad etilgan kiritish siz nazorat qilmaydigan hamkasbga tegishli bo'lsa, suhbat uning egasi bilan qo'llab-quvvatlanadigan almashtirish materiali haqida bo'ladi. Hech kim xizmat ko'rsatmaydigan tizimni joylashtirish uchun o'z chegarangizni pasaytirish xarajatni ulardan keyin ulanadigan barcha kishilarga o'tkazadi.

Server siyosatni qo'llaydigan joyda kutubxonani ayblashdan oldin OpenVPN darajasidagi sozlama haqiqiy sabab ekanini tekshiring. Joylashtirilgan sertifikat bajara olmaydigan qat'iyroq sinfni talab qiladigan sertifikat profili xavfsizlik darajasi qanday bo'lishidan qat'i nazar muvaffaqiyatsiz bo'ladi va bu profilni olib tashlash kutubxona tekshiruvlarini o'chirishdan ko'ra torroq o'zgarishdir.

Agar pasaytirishga to'g'ri kelsa, cheklang va yozib qo'ying

Ba'zan tasdiqlangan moslik istisnosi to'g'ri javob bo'ladi, ayniqsa sanasi belgilangan foydalanishdan chiqarish rejasi bor eski hamkasb uchun. Uni butun hostga emas, kerak bo'lgan xizmatga cheklang: xizmatga xos konfiguratsiya fayli yoki maxsus OpenSSL konfiguratsiyasi global profildagi eksportdan kichikroq ta'sir doirasiga ega.

Istisno bilan birga to'rt narsani yozing: aniq sozlama, uni tasdiqlagan egasi, ta'sirlangan mijozlar va u olib tashlanadigan shart. Foydalanishdan chiqarish shartisiz istisno — vaqtinchalik asos bilan biriktirilgan doimiy zaiflashuv.

Orqaga qaytarish siz allaqachon sinab ko'rgan bitta qadam bo'lishi kerak. Avvalgi konfiguratsiyani saqlang, o'zgarishni qo'llang, xizmat ishga tushishini tasdiqlang va keyingi ulanish kutilganidan boshqacha ishlasa, qaysi faylni tiklashni aniq biling.

Keyin shaxs va himoyani tekshiring

Muvaffaqiyatli ulanish faqat qayta ko'rib chiqilgan shartlar uni qabul qilganini isbotlaydi. Host nomi va hamkasb tekshiruvi hali ham o'z ishini bajarayotganini, ishlatilayotgan sertifikat siz joylashtirmoqchi bo'lgan sertifikat ekanini va muzokara qilingan ma'lumot kanali siz o'ylagan siyosatga mos kelishini tasdiqlang.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL xavfsizlik darajalari ma'lumotnomasi ramka kalitlar, imzolar, guruhlar va to'plamlarga cheklovlarni birgalikda qo'llashini va nol daraja qayta chaqiruv tekshiradigan hamma narsaga ruxsat berishini aniq aytadi. Bu siz o'zgartirgan narsaning ko'lami va tuzatish tor bo'lganmi deb so'raganda keltiriladigan gap shu.

Auditdan o'tadigan topshirish qaysi siyosat qaysi kiritishni rad etganini, nima o'zgarganini va natijada nima qabul qilinishini aytadi. „U SECLEVEL=0 bilan ishlaydi“ bitta ulanish haqidagi kuzatuv, joylashtirishning xavfsizlik bahosi emas.