Tên tóm tắt SHA1 trong OpenSSL: danh sách cũ nghĩa là gì

Các danh sách tóm tắt cũ được đọc như bản ghi lại các quyết định mật mã, và chúng không phải như vậy. Những cái tên như SHA1, DSA-SHA1-old hay RSA-SHA1-2 đứng cạnh nhau trong các bản dựng OpenSSL cũ vì thư viện đã đăng ký một số điểm vào quanh cỗ máy băm liên quan. Một nhãn RSA hay DSA trong danh sách đó OpenVPN không nói gì về những gì OpenVPN đã làm với một gói tin. Những gì bạn đang đọc là bản kiểm kê của thư viện, không phải bản ghi của một phiên.

Ba điều phải được tách ra trước khi mọi kết luận có ý nghĩa: tên đã đăng ký, phép tính tóm tắt bên dưới và thao tác tiêu thụ nó.

Đăng ký là một giao diện, không phải xếp hạng độ mạnh

Trong OpenSSL 1.0.2, bảng đăng ký tóm tắt nối tên, bí danh và cách hiện thực vào một tệp duy nhất. Bộ mô tả DSS1 cũ là trường hợp rõ ràng nhất: nó báo độ dài đầu ra của SHA-1 và gọi thủ tục hoàn tất của SHA-1 trong khi mang một cái tên gợi ý một thuật toán hoàn toàn khác. Vì vậy các chữ cái thêm trong một đăng ký không hàm ý một hàm băm khác, đầu ra dài hơn hay mức bảo mật mới.

Cùng nguồn đó giữ các quan hệ bí danh cho những người gọi cũ hơn, điều này giải thích vì sao một danh sách trông chật kín. Đây là tài liệu về khả năng tương thích, không phải lời hứa rằng một nhà cung cấp OpenSSL hiện tại sẽ hiển thị cùng những cái tên.

Tên để ký không tạo ra chữ ký

Một khung ký có thể buộc một tóm tắt vào giao diện của thuật toán khác để những người gọi hiện có tiếp tục biên dịch. Một chữ ký khóa công khai thực sự cần cả khóa lẫn bước ký dùng khóa đó, và không cái nào được cung cấp bởi một cái tên trong menu. Một mục tóm tắt mang hương RSA là một cái tên mà người gọi có thể dùng, không phải bằng chứng rằng mỗi gói VPN đều mang một chữ ký RSA.

Chính ở bước này các bài viết cũ trượt vào truyền thuyết. Nếu bạn cần biết các gói tin đã được xác thực thế nào, hãy tìm tùy chọn đã chọn cơ chế rồi đọc xem nó làm gì trong phiên bản bạn thực sự chạy. Trang hướng dẫn đi kèm bản phát hành đó là mô tả duy nhất khớp với chương trình trước mặt bạn. Các hướng dẫn lưu trữ mô tả bản phát hành mà chúng được viết cho, và bản đó có thể chậm vài quy ước đặt tên.

Tìm tùy chọn đã tiêu thụ cái tên

Trong trường hợp xác thực gói tin được OpenVPN 2.6 ghi lại, auth chọn một tóm tắt được HMAC dùng, một cấu trúc xác thực thông điệp có khóa chứ không phải chữ ký chứng chỉ. Thuật toán ký của chứng chỉ TLS là một thuộc tính riêng của quá trình bắt tay.

Với mật mã dữ liệu AEAD, thiết lập auth riêng biệt không còn áp dụng cho kênh dữ liệu, trong khi vai trò của nó với tls-auth vẫn là một câu hỏi riêng. Vì vậy một danh sách tóm tắt không thể cho bạn biết hàm băm nào bảo vệ các gói hiện tại, bộ TLS nào đã được thương lượng hay chứng chỉ của đối tác đã được ký thế nào. Chỉ cấu hình hiệu lực cùng phiên bản mới trả lời được, và chỉ cho kết nối trước mắt bạn.

Ghi lại những gì bạn thực sự có

Ghi lại phiên bản OpenVPN, thư viện mật mã được liên kết, các tùy chọn chính xác trong hồ sơ và kết quả của một kết nối thật. Tập hợp đó trả lời những câu hỏi mà ảnh chụp màn hình menu tóm tắt không thể, và nó tồn tại qua lần nâng cấp tiếp theo vì nó nêu tên phiên bản chứ không phải cảm nhận.

Trên hết, đừng chọn một bí danh cũ vì cái tên nghe có vẻ mạnh hơn hay cụ thể hơn. Hãy chọn chính sách được hỗ trợ cho toàn bộ kết nối, và coi những cái tên cũ như một bản ghi về cách một thư viện từng trình diện chính nó.