SECLEVEL=0 ń wo àmì àrùn, kì í ṣe ẹ̀rí

Ìsopọ̀ OpenVPN kùnà, ẹnìkan rí àtúnṣe ìlà kan tí ó ń fi SECLEVEL=0 kún un, ìhà náà sì gòkè. Ohun tí ó yí padà kì í ṣe ẹ̀rí náà, kì í sì í ṣe àkójọpọ̀ pàsípárọ̀; ààlà ìgbàwọlé kan ní ìpele ẹ̀kọ́ ìkàwé gbogbo ló yí, gbogbo ohun tí ìlànà náà bá ṣe lẹ́yìn náà sì jogún ààlà tuntun náà. Ó tọ́ kí a lóye èyí kí a tó dà á sínú gbogbo profáìlì nínú àyíká.

Ṣàwárí irú ẹ̀kọ́ ìkàwé àti ìlànà tí ń ṣiṣẹ́

SECLEVEL jẹ́ èròǹgbà OpenSSL, nítorí náà ìbéèrè àkọ́kọ́ ni bóyá ìkọ́ náà ń lo OpenSSL rárá. OpenVPN lè sopọ̀ mọ́ ẹ̀kọ́ ìkàwé cryptography tó ju ọ̀kan lọ, ètò tí ó kan ọ̀kan nínú wọn kò ní ìtumọ̀ fún àwọn yòókù. Béèrè lọ́wọ́ fáìlì binárì ohun tí a fi kọ́ ọ, lẹ́yìn náà béèrè lọ́wọ́ ẹ̀kọ́ ìkàwé irú ẹ̀yà àti ìṣètò tí ó gbé wọlé:

openvpn --version | head -3
openssl version -a

Ka àbájáde ẹ̀yà náà dáadáa, nítorí àwọn pínpín ń tún àwọn iye àìpẹ́ ṣe. Àwọn kan ń fi ìṣètò ẹ̀rọ ránṣẹ́ tí ó gbé ìpele kéré jù lọ ga ju àìpẹ́ upstream, ìdí nìyẹn tí profáìlì kan náà fi ń hùwà ọ̀tọ̀ọ̀tọ̀ lórí ẹ̀rọ méjì tí wọ́n ní àwọn àpò OpenVPN kannáà. Ìlànà tí ń ṣiṣẹ́ ni èyí tí ìlànà tí ń lọ ló gbé wọlé, kì í ṣe èyí tí ó wà nínú ìwé ìtọ́sọ́nà upstream.

Lẹ́yìn náà ya àwọn ìpele méjì tí àwọn ènìyàn ń dàpọ̀ ya. OpenVPN ní àwọn ìṣàkóso TLS tirẹ̀, pẹ̀lú ètò profáìlì ẹ̀rí àti àwọn àkọsílẹ̀ pàsípárọ̀ tí ó ṣe kedere, wọ́n sì dúró lórí gbogbo ohun tí ẹ̀kọ́ ìkàwé fi àṣẹ lé. Dídín ìpele ẹ̀kọ́ ìkàwé kù kò yí i padà irú pàsípárọ̀ tí ìṣètò OpenVPN rẹ ń kójọ, dídín àkọsílẹ̀ OpenVPN kù kò sì gbé ààlà ẹ̀kọ́ ìkàwé ga. Mímọ ìpele tí ó kọ̀ ọ́ ni ó ń dá àbò bo àtúnṣe náà kí ó máà di àròsọ.

Ya àwọn ohun mẹ́ta tí a lè kọ̀ ya

Olùdíje àkọ́kọ́ ni ohun èlò ìdánimọ̀: ẹ̀rí tí kọ́kọ́rọ́ rẹ̀ kéré jù lọ tàbí tí ìlànà kò gbà álgórídìmù ìforúkọsílẹ̀ rẹ̀ mọ́. Èkejì ni àwọn ìpín ìpààrọ̀ kọ́kọ́rọ́, bí ẹgbẹ́ tí ìlànà kà sí aláìlera jù. Ẹ̀kẹta ni àkójọpọ̀ pàsípárọ̀ tí ìlànà yọ kúrò. Àwọn mẹ́tẹ̀ẹ̀ta lè fa ìkùnà ìfọwọ́sowọ́pọ̀, àti pé ìkọ̀wé àṣìṣe àti ìpele ìjíròrò nìkan ló ń yà wọ́n.

Kò sí ọ̀kan nínú àwọn mẹ́ta náà tí í ṣe pàsípárọ̀ ọ̀nà dátà. OpenVPN ń jíròrò lórí ìpamọ́ pàsípárọ̀ ìhà rẹ̀ lọ́nà ọ̀tọ̀ sí ìfọwọ́sowọ́pọ̀ TLS, nítorí náà ìsopọ̀ tí ó ṣàṣeyọrí lẹ́yìn ìyípadà ìpele ààbò kò sọ ohunkóhun nípa pàsípárọ̀ tí ń dá àbò bo dátà rẹ. Bí ìbéèrè tí o ń béèrè gan-an bá jẹ́ nípa ìpamọ́ dátà, o ń wo bọ́tìnì tí kò tọ́ rárá.

Dídín ìpele kù ń gbé ìgbàwọlé fún àwọn ohun ìwọlé mẹ́tẹ̀ẹ̀ta ga nígbà kan náà. Èyí ni apá tí àwọn ènìyàn ń pàdánù: àtúnṣe tí ó gbà ẹ̀rí àtijọ́ tún gbà ẹgbẹ́ aláìlera àti àkójọpọ̀ tí o lè máà ti pinnu láti yọ̀ǹda. Àṣìṣe kan ló fa ìyípadà, ìyípadà sì gbòòrò ju àṣìṣe lọ. Àìdọ́gba yẹn ni ìdí tí àyọkúrò tí a fi ààlà mọ́ fi dára ju àìpẹ́ fún gbogbo àyíká.

Yí ohun ìwọlé padà, kì í ṣe ààlà

Tọ́jú àṣìṣe gbáàtúù kí o tó fọwọ́ kan ìṣètò, pẹ̀lú ìpele tí ó ròyìn rẹ̀ àti ohun tí ó dárúkọ. A máa ń yanjú ìṣòro ẹ̀rí nípa yí ẹ̀rí náà padà sí ohun tí ìlànà lọ́wọ́lọ́wọ́ gbà, èyí tí ó sábà máa ń túmọ̀ sí kí a tún un gbé jáde láti ọ̀dọ̀ àṣẹ dípò kí a tún fáìlì kannáà fi sórí ẹ̀rọ.

Bí ohun ìwọlé tí a kọ̀ bá jẹ́ ti peer tí ìwọ kò ṣàkóso, ìjíròrò náà wà pẹ̀lú olóhun peer náà nípa ohun èlò àrọ́wọ́tó tí a ṣe àtìlẹ́yìn fún. Dídín ààlà rẹ kù láti gba ẹ̀rọ tí kò sí ẹni tí ń tọ́jú rẹ̀ ń gbé ìnáwó lọ láti ọ̀dọ̀ wọn sí gbogbo ẹni tí ó bá so mọ́ lẹ́yìn wọn.

Níbi tí sèbà ń fi ìlànà ṣiṣẹ́, yẹ̀wò bóyá ètò ní ìpele OpenVPN ni ìdí gidi kí o tó dá ẹ̀kọ́ ìkàwé lẹ́bi. Profáìlì ẹ̀rí tí ó béèrè kíláàsì tí ó le ju èyí tí ẹ̀rí tí a gbé kalẹ̀ lè ní yóò kùnà láìka ìpele ààbò, yíyọ profáìlì náà kúrò sì jẹ́ ìyípadà tó hẹ́ẹ̀m̀ ju pipa àwọn àyẹ̀wò ẹ̀kọ́ ìkàwé.

Bí o bá ní láti dín a kù, fi ààlà mọ́ ẹ̀ kí o sì kọ ọ́ sílẹ̀

Nígbà míì àyọkúrò ìbárayé tí a fọwọ́ sí ni ìdáhùn tí ó tọ́, pàápàá fún peer àtijọ́ tí ó ní ètò ìfẹ̀yìntì aláyọ̀. Fi ààlà mọ́ sí i fún iṣẹ́ tí ó nílò rẹ̀ dípò gbogbo agbàlejò: fáìlì ìṣètò fún iṣẹ́ kan tàbí ìṣètò OpenSSL àkànṣe ní agbára ìkópa tó kéré ju ìgbéjáde nínú profáìlì àgbáyé.

Kọ ohun mẹ́rin pẹ̀lú àyọkúrò náà: ètò gbáàtúù, olówó tí ó fọwọ́ sí i, àwọn oníbàárà tí ó kan, àti ipò tí a ó yọ ún kúrò. Àyọkúrò tí kò ní ipò ìfẹ̀yìntì jẹ́ àìlera tí ó wà títí pẹ̀lú ìdí tí ó wà fún ìgbà díẹ̀ tí a so mọ́ ẹ.

Ìdápada sẹ́yìn yẹ kí ó jẹ́ ìgbésẹ̀ kan tí o ti dán wò tẹ́lẹ̀. Tọ́jú ìṣètò tí ó kọjá, lo ìyípadà náà, jẹ́rìí pé iṣẹ́ bẹ̀rẹ̀, kí o sì mọ fáìlì tí yóò dá padà bí ìsopọ̀ tó kàn kò bá hùwà bí a ti retí.

Lẹ́yìn náà jẹ́rìí ìdánimọ̀ àti ààbò

Ìsopọ̀ tí ó ṣàṣeyọrí ń fi kìkì hàn pé àwọn ipò tí a túnṣe gbà á. Jẹ́rìí pé àyẹ̀wò orúkọ agbàlejò àti peer ṣì ń ṣe iṣẹ́ rẹ̀, pé ẹ̀rí tí a ń lò ni èyí tí o pinnu láti gbé kalẹ̀, àti pé ọ̀nà dátà tí a jíròrò rẹ̀ bá ìlànà tí o rò pé o ní mu.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Ìtọ́kasí àwọn ìpele ààbò OpenSSL sọ kedere pé ìlàyà náà ń fi ààlà lé àwọn kọ́kọ́rọ́, ìforúkọsílẹ̀, ẹgbẹ́ àti àkójọpọ̀ lọ́nà àpapọ̀, àti pé ìpele òdo ń yọ̀ǹda ohun gbogbo tí callback yẹ̀wò. Ìyẹn ni ìwọ̀n ohun tí o yí padà, ìyẹn sì ni gbólóhùn tí a máa ń fà yọ nígbà tí ẹnìkan bá béèrè bóyá àtúnṣe náà háaramù.

Ìfàṣẹ́ tí ó gbá àyẹ̀wò kọjá ń sọ ìlànà tí ó kọ̀ ohun ìwọlé tí ó kọ̀, ohun tí ó yí padà, àti ohun tí ó ṣì jẹ́ ìtẹ́wọ́gbà bí àbájáde. „Ó ń ṣiṣẹ́ pẹ̀lú SECLEVEL=0“ jẹ́ àkíyèsí nípa ìsopọ̀ kan, kì í ṣe ìgbéléwọ̀n ààbò ti ìgbékalẹ̀.