ca md too weak: tún fọwọ́ sí ìwé-ẹ̀rí tàbí sọ ìpele kù?

OpenVPN ẹrọ-ìbáraẹnisọ̀rọ̀ tí ó ṣiṣẹ́ ní oṣù tó kọjá wá kùnà nígbà ìbẹ̀rẹ̀ pẹ̀lú ca md too weak, àti pé profáìlì tó wà lórí dískì jẹ́ báìtì-báìtì kan náà pẹ̀lú èyí tí ó ṣiṣẹ́. Ìfiránṣẹ́ náà kan ìfọwọ́sí lórí ìwé-ẹ̀rí ilé-iṣẹ́ ìwé-ẹ̀rí, kì í ṣe cipher dátà, digest auth tàbí ọ̀rọ̀-ìpamọ́ àkọsílẹ̀. Àwọn ipò mẹ́ta ló pinnu bóyá àtúnṣe náà jẹ́ ohun-èlò ìdánimọ̀ tuntun, ìdìpọ̀ tuntun, tàbí ìyípadà ìlànà tí a mọ̀ọ́mọ̀ ṣe. Ṣe wọ́n ní tẹ̀léenteẹ̀, kí o sì yẹra fún àbáyọrí tí ó ṣẹlẹ̀ déédéé tí ọ̀nà-ìsọ̀rọ̀-ìkọ̀kọ̀ ń padà wá nípa dídi gbogbo ìsopọ̀ TLS lórí olùgbàléjò kù.

Ohun tí àṣìṣe náà ń dárúkọ ní ti gidi

OpenSSL gbé àṣìṣe ìjẹ́rìí yìí sókè nígbà tí ó ń kọ́ ìdìpọ̀, nígbà tí ìwé-ẹ̀rí tí ó ń ṣiṣẹ́ gẹ́gẹ́ bí CA gbé digest ìfọwọ́sí tí ìpele ààbò ilé-ìkàwé kò gbà mọ́. MD5 ni a kọ̀ ní ìpele àìbáramu, SHA-1 sì ni a kọ̀ nígbà tí a bá gbé ìpele sókè. Digest tó wà lórí ìwé-ẹ̀rí ewé kò ṣe pàtàkì níbí bí digest ti olùgbéjáde tí ó fọwọ́ sí i. Ìlànà kan náà lè kọ̀ gbòǹgbò tí ó jẹ́ ojúlówó déédéé ní ọjọ́ tí a gbé e jáde.

Ìdí ni pé ṣíṣe àtúnṣe auth tàbí data-ciphers kò ṣe ohunkóhun fún ìkùnà yìí. Àwọn ètò yẹn ń ṣàkóso bí a ṣe ń dáàbò bo àwọn pákétì lẹ́yìn ìfọwọ́sí-ọwọ́, nígbà tí ohun tí a kọ̀ jẹ́ ìwé ìdánimọ̀ tí a ń ṣàyẹ̀wò kí ọ̀nà-ìsọ̀rọ̀-ìkọ̀kọ̀ tó wà. Ìwé-ẹ̀rí lè jókòó ní àlàáfíà nínú àkókò ìwúlò rẹ̀, síbẹ̀ ó lè gbé ìfọwọ́sí tí ilé-ìkàwé kò ní gbà.

Pa àwọn àyẹ̀wò mọ́ ọ̀tọ̀ọ̀tọ̀ nínú ọkàn, àṣìṣe náà yóò dáwọ́ dúró láti dà bí àràmọ̀dá. Àwọn ọjọ́ ìwúlò, ìlò kọ́kọ́rọ́ àti digest ìfọwọ́sí jẹ́ àwọn ìdánwò olómìnira, ọ̀kan nínú wọn ṣẹ̀ṣẹ̀ kùnà.

Ipò kìíní: ṣé ohun tí a kọ̀ ni gbòǹgbò?

Tẹ̀ ẹ̀dà ìwé-ẹ̀rí kọ̀ọ̀kan nínú profáìlì jáde kí o sì ka àwọn pápá subject àti issuer. Gbòǹgbò tí ó fọwọ́ sí ara rẹ̀ fi iye kan náà hàn nínú méjèèjì, àti pé àlùmọ̀nà ìfọwọ́sí rẹ̀ ni ohun tí gbogbo ìdìpọ̀ gbé lé. Nígbà tí digest aláìlera bá wà níbẹ̀, gbogbo ewé tó wà nísàlẹ̀ rẹ̀ yóò jogún ìṣòro náà. Kọ àlùmọ̀nà náà sẹ́gbẹ̀ẹ́ subject kí ìfiwéra tó ń bọ̀ lè jẹ́ ti ẹ̀rọ kì í ṣe ti ìrántí.

Àwọn fáìlì CA tí a kó pọ̀ máa ń ní ọ̀pọ̀lọpọ̀ blọ́ọ̀kì, nítorí náà dámọ̀ blọ́ọ̀kì tí a ń kó wọlé ní ti gidi dípò kí o rò pé èkínní ni ẹlẹ́bi. Àṣẹ openssl x509 -in ca.pem -noout -subject -issuer -text ń ṣàpèjúwe ìwé-ẹ̀rí kan ní ẹ̀ẹ̀kan, èyí tí ó túmọ̀ sí pé kí a pín ìdìpọ̀ náà kí á tó bẹ̀rẹ̀ bí ó bá ní èyí tó pọ̀ jù. Fi àlùmọ̀nà ìfọwọ́sí tí a tẹ̀ jáde wé digest tí ìwọ yóò retí láti ìgbà tí a dá gbòǹgbò náà.

Ewé tí a fi SHA-256 fọwọ́ sí lábẹ́ gbòǹgbò aláìlera ṣì kùnà, nítorí àyẹ̀wò ìdìpọ̀ ń gòkè lọ dé orí. Ìtẹ̀léenteẹ̀ yẹn ni ó mú kí ipò tó ń bọ̀ ṣe pàtàkì.

Ipò kejì: ṣé ìwọ ń ṣàkóso olùgbéjáde?

Bí gbòǹgbò bá jẹ́ ti àjọ rẹ, àtúnṣe tó máa dúró jẹ́ gbòǹgbò tuntun pẹ̀lú digest òde-òní pẹ̀lú àwọn ewé tí a tún gbé jáde, tí a fi jíṣẹ́ gẹ́gẹ́ bí ìmúdójúìwọ̀n profáìlì kan ṣoṣo. Èyí gba àkókò ìtọ́jú àti ètò fún àwọn ẹ̀rọ tí kò lè gba ìmúdójúìwọ̀n ní ọjọ́ kan náà.

Bí ẹnìkẹta bá gbé ìdìpọ̀ jáde, àtúnṣe ni ìbéèrè sí ọ̀gá-ṣiṣẹ́ yẹn, àti pé ìgbésẹ̀ àdúgbò kan ṣoṣo tí ó wúlò ni láti dáwọ́ ìgbẹ́kẹ̀lé lórí ohun-èlò àtijọ́ dúró. Ṣíṣe àtúnṣe ọ̀rọ̀ PEM tàbí títún fi fáìlì pamọ́ kò yí ohunkóhun tí ìfọwọ́sí náà bo.

Ipò àárín kan yẹ fún orúkọ: gbòǹgbò inú ilé tí ó dàgbà ju àwọn àìbáramu ìsinsìnyí lọ ṣùgbọ́n tí ó ṣì ń fọwọ́ sí ohun-èlò tí àwọn ẹ̀rọ mìíràn gbẹ́kẹ̀lé. Rírọ́pò rẹ̀ túmọ̀ sí ṣíṣe àyẹ̀wò gbogbo olùlò, pẹ̀lú àwọn ẹ̀rọ tí ń fi àmì ìka ṣe ìwé-ẹ̀rí àtijọ́ mọ́lẹ̀. Ka àwọn olùlò yẹn kí o tó ṣètò ìyípadà, nítorí ìyípadà gbòǹgbò tí ó padà sí ọ̀kan máa ń yí àṣìṣe ìbẹ̀rẹ̀ padà sí ìdádúró iṣẹ́.

Ipò kẹta: kí ni sísọ ìpele kù tún ń gbà

Sísọ ìpele ààbò kù, tàbí yíyan profáìlì ìwé-ẹ̀rí àtijọ́ ti OpenVPN, ń mú kí ẹrọ-ìbáraẹnisọ̀rọ̀ tún gba digest àtijọ́. Ó tún ń tú àwọn àyẹ̀wò mìíràn nínú ilé-ìkàwé kan náà, fún gbogbo ìsopọ̀ tí ìlànà yẹn bá ṣe.

Èyí lè jẹ́ ohun tí a lè gbèjà ní yàrá-ìdánwò, tàbí gẹ́gẹ́ bí afárá kúkúrú nígbà tí a ń pèsè ohun-èlò àrọ́wọ́tó, níwọ̀n bí ìyàsọ́tọ̀ náà bá kù sí profáìlì kan ṣoṣo tí ó sì ní ọjọ́ ìparí. Gẹ́gẹ́ bí ètò tí ó dúró pẹ́ lórí olùgbàléjò tí a pín, ó ń gbòòrò sí i ní ìdákẹ́jẹ́ ohun tí gbogbo ẹrọ-ìbáraẹnisọ̀rọ̀ TLS níbẹ̀ yóò gbẹ́kẹ̀lé.

Kọ ìyàsọ́tọ̀ náà pẹ̀lú ẹni tí ó ni í àti ìgbésẹ̀ yíyọ kúrò. Ìyípadà ìpele tí a kò kọ sílẹ̀ kò ṣeé yà sọ́tọ̀ kúrò nínú àṣìṣe ní oṣù mẹ́fà lẹ́yìn, àti pé ẹlẹ́rọ̀-ẹ̀rọ tó ń bọ̀ kò ní mọ̀ pé ó ti jẹ́ ìpinnu rí.

Ìpinnu náà, tí a kọ gẹ́gẹ́ bí òfin

Rọ́pò ìdìpọ̀ nígbà tí o bá ń ṣàkóso olùgbéjáde tí o sì lè ka àwọn olùlò rẹ̀. Gbé e lọ sí ọ̀dọ̀ olùgbéjáde nígbà tí o kò bá ṣàkóso. Sọ ìpele kù ní ọ̀nà ìyàsọ́tọ̀ tí ó ní ọjọ́ àti ààlà, pẹ̀lú àrọ́wọ́tó tí a ti ṣètò tẹ́lẹ̀. Ohunkóhun mìíràn ń fi ìwé-ẹ̀rí kan náà sílẹ̀ ní ibi rẹ̀, ó sì ń gbé ewu lọ sí ibi tí kò fi bẹ́ẹ̀ hàn.

Lẹ́yìn náà tún dán profáìlì wò láti ẹrọ-ìbáraẹnisọ̀rọ̀ mímọ́, jẹ́rìí pé ìfọwọ́sí-ọwọ́ ń parí, kí o sì pa ọ̀rọ̀ ìkọ̀ tó péye mọ́ bí ó bá ṣì ń kùnà. Ìfiránṣẹ́ àṣìṣe tó péye ni ohun tó rọ́rùn jùlọ tí o lè fi fún ẹni tí ó ni ìpele tó ń bọ̀.