Ẹ̀yà TLS tí kò bófin mu nínú AnyConnect lórí Linux: kọ́kọ́ ṣe ààlà ìṣàtúnṣe

Àṣìṣe yìí ń dé kí ìbéèrè ọ̀rọ̀ìpamọ́ tó dé, ìyẹn ni apá tí ó wúlò: kò sí ohun tí a ti jẹ́rìí sí, nítorí náà kì í ṣe àwọn ẹ̀rí ni ìṣòro. Lórí Linux, ọ̀rọ̀ ìjíròrò AnyConnect kan náà lè wá láti inú ẹ̀yà ìlànà àtijọ́, ẹgbẹ́ pààrọ̀ kọ́kọ́rọ́ 1024-bit, tàbí àkójọpọ̀ ìkọ̀wé tí ìlànà kriptò ẹ̀rọ ń kọ̀. Mo ti yọ ọ́ kúrò ní ọ̀nà mẹ́ta oríṣiríṣi lórí ẹ̀rọ mẹ́ta, àti ohun tí ó ya àwọn ojútùú yẹn sọ́tọ̀ ni ìwọ̀n ipa, kì í ṣe ọgbọ́n. Ọ̀kọ̀ọ̀kan ṣeéṣe ìgbèjà ní ibi tí ó yẹ, ó sì jẹ́ àìdára àdáni ní ibikíbi mìíràn.

Ka ìfiránṣẹ́ kí o tó fọwọ́ kan ìlànà

Fi gbólóhùn gbẹ́kẹ̀lẹ̀ náà pamọ́ láti inú ọ̀rọ̀ ìjíròrò. Ẹjọ́ ẹ̀yà ń tọ́ka sí ìpele ìlànà, ẹjọ́ ẹ̀rí ń tọ́ka sí ìgbẹ́kẹ̀lé tàbí orúkọ, àti ìwọlé tí ó kùnà ń tọ́ka sí àwọn ẹ̀rí. Ẹnubodè tí ó ń pèsè TLS 1.0 pẹ̀lú ẹgbẹ́ DHE 1024-bit, AES-256-CBC àti ìbuwọ́lẹ̀ SHA-1 lè ní ẹ̀rí tí ó tọ́ pátápátá, síbẹ̀ ìlànà òde òní lè kọ̀ ọ́ kí a tó fi àwọn ẹ̀rí rẹ ránṣẹ́.

Wo ibi ìparí pẹ̀lú OpenSSL ẹ̀rọ, ní lílo orúkọ agbàle gidi àti ibudo tí ẹrọ tí ó ń lo náà ń lò.

Bí openssl s_client -connect vpn.example.com:443 -servername vpn.example.com bá kùnà tí -tls1 -cipher DEFAULT@SECLEVEL=0 sì ṣàṣeyọrí, ààlà ni ẹ̀yà àti ìwọ̀n kọ́kọ́rọ́ papọ̀. Bí àṣẹ àkọ́kọ́ bá ròyìn kọ́kọ́rọ́ DH kékeré dípò ìkìlọ̀ ìlànà, ẹ̀yà náà dára, ẹgbẹ́ nìkan ló nílò àfiyèsí. Má ṣe fi kọ́kọ́rọ́ àdáni tàbí ọ̀rọ̀ìpamọ́ sínú àyẹ̀wò náà.

Àṣàyàn 1: ṣí gbogbo agbàle pẹ̀lú ìlànà kriptò

Lórí Fedora àti RHEL 8 àti 9, update-crypto-policies --set LEGACY ń sọ ìlànà ẹ̀rọ OpenSSL kalẹ̀, update-crypto-policies --show sì ń fìdí rẹ̀ múlẹ̀ ohun tí ó ń ṣiṣẹ́. Ó sábà máa ń mú ọ̀nà àbẹ̀wò padà, ṣùgbọ́n a ń ka ìlànà nígbà tí ìgbésẹ̀ bá bẹ̀rẹ̀, nítorí náà tún ẹrọ náà àti olùrànlọ́wọ́ kúrò tí ó bá dá sílẹ̀ bẹ̀rẹ̀ kí o tó tún dán wò. Ó tún gbà àwọn ìlànà àtijọ́ àti àwọn ẹgbẹ́ aláìlágbára fún gbogbo ẹrọ TLS lórí ẹ̀rọ náà, láti aṣàwákiri fèrèsé ẹ̀gbẹ́ dé olùṣàkóso àpò tí ń ṣe àtúnṣe kọ́nútà.

Ìbú yẹn ni gbogbo ète àti gbogbo ìṣòro. LEGACY kan gbogbo agbàle, ó wà pẹ́, ó sì rọrùn láti gbàgbé, nítorí náà ó yẹ kí ó jẹ́ ìgbésẹ̀ àyẹ̀wò tàbí àyọkùrò tí a kọ sílẹ̀ lórí ìkọ́lẹ́ tí a ń ṣàkóso, kì í sì í ṣe ipò ìsinmi ibi iṣẹ́ rárá. Mo ti rí ọ̀kan tí ó wà lórí LEGACY fún ọdún méjì nítorí pé ẹnubodè inú kan nílò rẹ̀, kò sì sí ẹni tí ó lè sọ ìgbà tí ó bẹ̀rẹ̀.

Debian àti Ubuntu kò ní ìyípadà kan ṣoṣo fún èyí. Ohun tí ó dọ́gba ni àtúnṣe /etc/ssl/openssl.cnf tí ó ń fi MinProtocol kékeré àti CipherString = DEFAULT@SECLEVEL=0 sílẹ̀ ní apá àwọn àdáni ẹ̀rọ. Ìwọ̀n kan náà, fáìlì mìíràn, ó rọrùn díẹ̀ láti pàdánù lójú nígbà àtúnṣe ìtújáde.

Àṣàyàn 2: fáìlì ìṣètò kan fún ẹrọ kan

Ìṣètò OpenSSL fún ìgbésẹ̀ kọ̀ọ̀kan ń pa ìyípadà mọ́ nínú igi ìgbésẹ̀ kan, ṣùgbọ́n kìkì bí a bá so fáìlì náà gẹ́gẹ́ bí ilé ìkàwé ṣe ń retí. Lílò orúkọ apá ssl_conf kò tó: OpenSSL ń ka kọ́kọ́rọ́ ìpele gíga openssl_conf, ó ń tẹ̀lé e dé apá ìbẹ̀rẹ̀, lẹ́yìn náà ni ó tó dé àwọn àdáni SSL.

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = DEFAULT@SECLEVEL=0

Tọ́ka OPENSSL_CONF sí fáìlì yẹn kí o sì gbé ẹrọ VPN jáde nípasẹ̀ ìkápọ́ tí ó ń tà á jáde. Ohun gbogbo mìíràn lórí agbàle ń pa ìlànà àdáni mọ́, ìyẹn sì ni ànímọ́ tí ó ṣe pàtàkì nígbà tí ìbéèrè ìbámu bá dé. Fìdí rẹ̀ múlẹ̀ pé fáìlì náà ń ṣiṣẹ́ gan-an kí o tó dá ẹnubodè lẹ́bi: OPENSSL_CONF=/path/to/file openssl ciphers -s -tls1 yẹ kí ó ṣe àkójọ àwọn ìkọ̀wé TLS 1.0, àti àbájáde òfo túmọ̀ sí pé ẹ̀wọ̀n náà ti já, ẹrọ náà sì ti fi àwọn àdáni ẹ̀rọ pamọ́ ní ìdákẹ́jẹ́.

Fáìlì náà ní ìfarahàn sí ẹ̀yà. OpenSSL 1.1.1 àti 3.x ń gba orúkọ apá kan náà, ṣùgbọ́n ìtọ́jú àwọn ìtọ́nisọ́nà yí àwọn olùpèsè ti yí padà ní 3.x, nítorí náà ṣe àyẹ̀wò pẹ̀lú àkọsílẹ̀ ẹrọ náà fúnra rẹ̀ àti ìfọwọ́sowọ́pọ̀ ìdánwò dípò kí o ro pé a ti ka fáìlì náà. Àṣìṣe títẹ̀ ní orúkọ apá ń kùnà ní gbangba, ẹrọ náà sì ń lo àwọn àdáni ẹ̀rọ ní ìdákẹ́jẹ́.

Ààlà ni ìbojú. Ohunkóhun tí a so pẹ̀lú GnuTLS tàbí NSS ń pa OPENSSL_CONF tì, bẹ́ẹ̀ náà ni ìgbésẹ̀ olùrànlọ́wọ́kankan tí ẹrọ náà ń gbé jáde láìjogún àyíká. Ṣàyẹ̀wò pẹ̀lú ldd ilé ìkàwé TLS wo ni bínárì náà so mọ́ gan-an kí o tó kọ́ ìkápọ́ náà, nítorí ìdáhùn náà ló ń pinnu bóyá àṣàyàn yìí wà rárá.

Àṣàyàn 3: VM tàbí àpótí tí a lò lẹ́ẹ̀kan

Fún alágbàṣe tí ó ń kọlu ẹnubodè àtijọ́ kan fún ọ̀sẹ̀ méjì, VM àkànṣe pẹ̀lú ìlànà tí ó rọ̀ ni ààlà tí ó mọ́ ju ibi iṣẹ́ lọ. Ojú àtijọ́ àti profáìlì aṣàwákiri ojoojúmọ́ kò ní pín ìlànà kọ́nútà mọ́, ìsọnu sì jẹ́ pípaarẹ̀ dípò àwárí àyẹ̀wò.

Ó ṣì jẹ́ ẹ̀rọ tí ó wà lórí nẹ́tíwọ́kì, nítorí náà dín àǹfààní rẹ̀ kù, kí o sì pa á mọ́ kúrò nínú ìwádìí gbogbogbò. Ìnáwó ìtọ́jú ni àwòrán mìíràn láti fi àtúnṣe, èyí jẹ́ gidi ṣùgbọ́n ó ní ààlà, ó sì hàn, kì í ṣe bí àsíá LEGACY tí a gbàgbé lórí kọ̀mpútà àgbègbè.

Ohun tí ìfiwéra fi sílẹ̀ fún ọ

Yan pẹ̀lú ìbéèrè mẹ́ta: ta ni ó nílò ìlànà àtijọ́, fún ìgbà tó pẹ́, àti ta ni yóò ṣàkíyèsí bí àyọkùrò bá wà pẹ́ ju ìdí rẹ̀ lọ. Ohun èlò kan, ènìyàn kan, ọjọ́ mélòó kan ń tọ́ka sí ìṣètò fún ìgbésẹ̀. Gbogbo ẹgbẹ́ ẹ̀rọ lẹ́yìn ẹ̀rọ kan ń tọ́ka sí ẹnubodè fúnra rẹ̀. Ohunkóhun tí ó nílò ìlànà LEGACY pípẹ́ lórí agbàle jẹ́ ìpinnu ìrajà tí ó wọ ẹ̀wù ìmọ̀ ẹ̀rọ.

Àtúnṣe tí ó dúró pẹ́ jẹ́ ti ẹ̀rọ náà: TLS 1.2 tàbí tuntun, ẹgbẹ́ ó kù díẹ̀ 2048-bit, ìkọ̀wé AEAD, àti ẹ̀rí pẹ̀lú ìbuwọ́lẹ̀ òde òní. Béèrè ìyípadà yẹn lọ́wọ́ ẹni tí ó ní ẹ̀rọ náà, lẹ́yìn náà fìdí ẹ̀yà àti ìkọ̀wé tí a ti dúnàádúrà múlẹ̀ nínú àkọsílẹ̀ ẹrọ náà. Kọ àyọkùrò náà pẹ̀lú agbàle, ẹnubodè, ìlànà tí a dúnàádúrà, olùfọwọ́sí àti ọjọ́ ìparí, nítorí àkọsílẹ̀ yẹn ni ó ń dena ojútùú ìgbà díẹ̀ láti di àdáni.