Ẹlẹ́gbẹ́ àtijọ́ kan ń fi TLS 1.0 ṣiṣẹ́: dín ìyàtọ̀ náà mọ́, kì í ṣe gbogbo host

Ẹ̀rọ àtijọ́ kan yọ jáde, kò lè sopọ̀, ìtúnṣe tí ó dàbí ẹni tí ó yára jù ni láti mú gbogbo host rẹ̀wẹ̀sì títí ìsopọ̀ yóò fi ṣàṣeyọrí. Ìpàdé yẹn kò hàn ní àkókò yẹn, ó sì dúró gbére nínú ìṣe, nítorí kò sí ẹni tí ó yọ ìpìlẹ̀ tí ó ṣiṣẹ́ nígbẹ̀yìn kúrò. Àṣìṣe méjì tí ó yàtọ̀ pátápátá ni ó ń dá ìfipá náà, ọ̀kan nínú wọn nìkan ni ó jẹ́ nípa àwọn cipher. Kọ́kọ́ pín àṣìṣe náà, lẹ́yìn náà gbé ìyàtọ̀ náà sí ibi tí kò ti lè tàn kálẹ̀.

Pín ìkùnà sí méjì kí o tó yí ìtọ́nisọ́nà padà

Ìlà àkọsílẹ̀ server nípa kò sí cipher tí wọ́n ń pín, tàbí nípa ẹ̀yà protocol tí kò ní àtìlẹ́yìn, wá láti inú àwọn ọ̀nà ìṣàkóso: àwọn ẹ̀gbẹ́ méjèèjì kò lè gbà lórí bí wọ́n yóò ṣe dáàbò bo ìjíròrò náà fúnra rẹ̀. Ìlà ti ẹrọ aláàbò tí ó sọ pé kò sí ọ̀nà ìmúdájú ìwé-ẹ̀rí server tí ó ṣiṣẹ́ wá láti ibòmíì pátápátá, nítorí ẹrọ yẹn kò tilẹ̀ yẹ ẹni tí ó dáhùn wò. Yíyí cipher data padà kò ṣe àǹfààní kankan fún ọ̀ràn kejì, bẹ́ẹ̀ sì ni fífi ìmúdájú ipa kún kò ṣe àǹfààní kankan fún ti àkọ́kọ́.

Mú ìlà ìkùnà àkọ́kọ́ láti ẹ̀gbẹ́ kọ̀ọ̀kan, kì í ṣe ìlà ìkẹyìn kí ìpínyà tó ṣẹlẹ̀, nítorí ìkẹyìn sábà jẹ́ àbájáde nìkan. Lẹ́yìn náà ṣe ìpinnu fọ́ọ̀mù tí ẹrọ aláàbò náà ṣí gan-an: profaili tí wọ́n kó wọlé sábà wà lẹ́ẹ̀méjì lábẹ́ orúkọ ìfihàn tí ó yàtọ̀, ṣíṣe àtúnṣe ẹ̀dà tí kò sí ẹni tí ó kà á ń dá àìsí ìyípadà tí ó dánilójú. Ìlànà tí ó ń ṣiṣẹ́ ń pa àwọn ètò tí ó bẹ̀rẹ̀ pẹ̀lú mọ́, nítorí náà fọ́ọ̀mù tí wọ́n fipamọ́ kì í ṣe fọ́ọ̀mù tí wọ́n kó wọlé. Àwọn àṣẹ ní ìsàlẹ̀ fi ìjíròrò ẹrọ aláàbò hàn lẹ́gbẹ̀ẹ́ ìrísí server nípa ìgbìyànjú kan náà.

openvpn --config <profile>.ovpn --verb 4 2>&1 | head -n 40
journalctl -u [email protected] --since '-10 min' | grep -iE 'cipher|tls|verify'

Olùgbọ́ kejì ni ibi òtítọ́ fún ìpìlẹ̀ tí ó rẹ̀wẹ̀sì

Nígbà tí ẹ̀rọ náà dúró sí TLS 1.0 pẹ̀lú ọ̀nà data ṣáájú 2.5, server gbọdọ̀ pèsè ìpìlẹ̀ tí ó kéré fún ọ̀nà ìṣàkóso àti cipher data tí ẹrọ aláàbò àtijọ́ mọ̀. Ìtọ́nisọ́nà àpadà wà fún ẹlẹ́gbẹ́ yẹn gan-an, nígbà tí àkójọ cipher ń pa àwọn ẹrọ aláàbò òde òní mọ́ lórí àwọn suite òde òní. Àwọn ìtọ́nisọ́nà méjèèjì jẹ́ ti olùgbọ́ kì í ṣe ti olùmúlò tàbí ìsopọ̀, kò sì sí àṣàyàn fún ẹrọ aláàbò kọ̀ọ̀kan tí yóò dín wọn mọ́ lẹ́yìn náà. Ìdí nìyẹn tí ẹ̀rọ àtijọ́ kan lórí ibùdó pàtàkì fi jẹ́ ìpinnu nípa gbogbo ẹlẹ́gbẹ́ tí ó ń pín ibùdó yẹn.

Níbi tí pẹpẹ gbà á, ṣiṣẹ́ olùgbọ́ àtijọ́ gẹ́gẹ́ bí ẹ̀dá tirẹ̀ lórí ibùdó ọ̀tọ̀, gbà ibùdó yẹn ní àǹfààní láti àdírẹ́sì ẹ̀rọ náà nìkan, kí o sì fi iṣẹ́ pàtàkì sílẹ̀. Kọ ìdí tí olùgbọ́ kejì fi wà, sínú fọ́ọ̀mù tí ó gbé ìṣètò rẹ̀, nítorí bí bẹ́ẹ̀ kọ́ ìmúkúrò ọjọ́ iwájú yóò kà á gẹ́gẹ́ bí àṣẹ́kù. Ìpínyà náà níye lórí nìkan bí ìpìlẹ̀ tí ó rẹ̀wẹ̀sì bá parí níbi tí ẹ̀rọ náà ti parí.

tls-version-min 1.0
data-ciphers AES-128-GCM:AES-256-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

Ohun tí ìwé-ẹ̀rí olùpèsè àtijọ́ ń fọ́ gan-an

Àṣìṣe ìmúdájú jẹ́ ìsopọ̀ ipa tí ó ṣàkùnà: láìsí rẹ̀ ẹrọ aláàbò yóò gba ìwé-ẹ̀rí èyíkéyìtí tí ó so mọ́ CA tí wọ́n gbẹ́kẹ̀lé, yálà wọ́n fún un fún server tàbí bẹ́ẹ̀ kọ́. Kọ́kọ́ so ìwé-ẹ̀rí náà mọ́ ipa server, kí o sì ka ìsopọ̀ náà gẹ́gẹ́ bí àìdánilójú kì í ṣe bọ́tìnnì àtúnṣe. Profaili tí ó ṣì kùnà lẹ́yìn ìgbésẹ̀ yẹn nìkan ni ó ní ìṣòro ìwé-ẹ̀rí gidi.

Ìwé-ẹ̀rí olùpèsè àtijọ́ tí ìwọ̀n kọ́kọ́rọ́ tàbí alugorídímù ìfọwọ́sí kò tún bá ìlànà àkọ́kọ́ OpenSSL mu jẹ́ ọ̀ràn fún ìyípadà ìpele ààbò tí ó ní ààlà lórí ọ̀nà ìṣàkóso. Dídín ìpele náà kù níbẹ̀ kò pa ìmúdájú dé, kò sì gbọdọ̀ wà pẹ̀lú CA òfìfo, ìmúdájú tí wọ́n pa dé, tàbí orúkọ host tí wọn kò yẹ̀wò rẹ̀ láé. Pa ìlà náà mọ́ nínú profaili kan ṣoṣo tí ó nílò rẹ̀; gbígbé ìṣètò OpenSSL tí wọ́n ti tú jáde káàkiri yóò fún gbogbo ètò lórí ẹ̀rọ náà ní ìtújáde kan náà.

remote-cert-tls server
tls-cipher "DEFAULT:@SECLEVEL=0"

Ka àwọn iye tí wọ́n gbà, kì í ṣe banner

Ní verbosity 4, ẹ̀gbẹ́ méjèèjì ń tẹ ẹ̀yà TLS àti cipher ọ̀nà ìṣàkóso tí wọ́n gbà jáde, àti cipher data fún ìpàdé náà. Ka àwọn ìlà yẹn dípò banner ìbẹ̀rẹ̀, tí ó ń ròyìn àṣeyọrí kì í ṣe àwọn ipò rẹ̀. Lẹ́yìn náà so ẹrọ aláàbò òde òní mọ́ olùgbọ́ pàtàkì lẹ́ẹ̀kan sí i, kí o sì jẹ́rìí pé ó ṣì ń rólẹ̀ sórí suite òde òní, nítorí ìyàtọ̀ tí ó jo jáde sínú ìṣètò tí wọ́n ń pín yóò hàn níbí kọ́kọ́. Àwọn iye tí o dà yóò di ìpìlẹ̀ fún àyẹ̀wò tó ń bọ̀.

Dán ẹ̀rọ àtijọ́ wò ní ìkọ̀ọ̀kan: ó gbọdọ̀ sopọ̀, ó sì gbọdọ̀ jẹ́ ìpàdé kan ṣoṣo nínú àwọn àkọsílẹ̀ tí ó ń fi àwọn ìwọ̀n tí ó rẹ̀wẹ̀sì hàn. Bí ẹlẹ́gbẹ́ kejì pẹ̀lú bá ń jíròrò lórí suite àtijọ́, ìyàtọ̀ náà gbòòrò ju bí wọ́n ṣe pinnu lọ, ìpínyà olùgbọ́ kò sì ṣẹlẹ̀ gan-an. Ṣàkọsílẹ̀ àwọn àkíyèsí méjèèjì kì í ṣe ìparí ọ̀rọ̀ nìkan.

Ìyàtọ̀ kọ̀ọ̀kan nílò ẹni tí ó ní í àti ọjọ́

Ìyàtọ̀ tí kò ní ipò ìmúkúrò ń di àkọ́kọ́ ní ìdákẹ́jẹ́, nítorí náà gbé ẹ̀rọ náà, ẹni tí ó ní í, ìdí, àti ọjọ́ tí yóò lọ lẹ́gbẹ̀ẹ́ ìṣètò tí ó ń dá á láre. Láìsí ìlà yẹn ìpìlẹ̀ tí ó rẹ̀wẹ̀sì yóò gbé pẹ́ ju ohun-ẹ̀rọ tí ó nílò rẹ̀ lọ.

Yíyí ẹrọ aláàbò padà, tàbí bíbèèrè profaili lọ́wọ́lọ́wọ́ lọ́wọ́ olùpèsè, ni àbájáde tí ó yẹ kí wọ́n lépa; ìyàtọ̀ náà jẹ́ ìdádúró kì í ṣe àpẹẹrẹ. Nígbà tí ẹ̀rọ náà bá fẹ̀yìntì, yọ olùgbọ́ àti profaili kúrò nínú ìyípadà kan náà kí ìdajì kankan má baà máa ṣiṣẹ́. Kò sí ohun kan nínú èyí tí ó mú àwọn ìwọ̀n àtijọ́ ní ààbò, ó kàn ń dá ààlà ẹ̀rọ kan dúró láti di ìpìlẹ̀ gbogbo ènìyàn.