Вопросы Теги

Как устранить уязвимость Затора в конфигурации сервера OpenVPN?

С этой записи (День 2), существует совсем немного точных инструкций относительно того, как смягчить Затор для Apache и других веб-серверов, таких как эта страница:

https://weakdh.org/sysadmin.html

Каковы подобные инструкции для серверов OpenVPN?

OpenVPN затронут вообще? (Я предполагаю да, так как это - проблема протокола TLS).

6
задан 22 May 2015 в 10:34
2 ответа

Вкратце, следующие пункты могут использоваться в качестве справочных:

  • Убедитесь, что размер ключа параметров DH составляет> = 2048 бит. Если нет, его следует сгенерировать заново.
  • Убедитесь, что параметр tls-cipher в файле конфигурации OpenVPN не перезаписан, или, если это так, не включены слабые шифры и шифры экспортного уровня. (Если он вообще не определен в конфигурации, список поддерживаемых шифров для установленной версии OpenVPN можно проверить с помощью командной строки: openvpn --show-tls .
  • Убедитесь, что установлена ​​последняя версия OpenSSL. На данный момент это 1.0.2a. Функциональность экспортного шифрования отключена в этой версии, но она по-прежнему позволяет использовать более слабые ключи DH.

PS: Я написал сообщение в блоге об этом, в котором говорится, что это расширенная версия tl; dr, приведенная выше.

1
ответ дан 3 December 2019 в 00:18

Атаки воздействуют только на OpenVPN очень ограниченным образом, потому что:

  1. OpenVPN поощряет пользователей генерировать свои собственные DH-группы, используя 'openssl dhparam', вместо использования общих групп. Man-страница / примеры, используемые для предоставления 1024-битных DH-ключей (недавно обновилась до 2048), и хотя 1024-битные dh-параметры могут быть сломаны, это все равно очень дорого. Вероятно, это слишком дорого для ваших данных, если вы не поделитесь группой с другими.
  2. OpenVPN не поддерживает параметры EXPORT DH, и поэтому атака TLS отката не распространяется на OpenVPN.

Чтобы быть на всякий случай, используйте DH-параметры не менее 2048 бит. Обновление DH-параметров простое и требует только изменения на сервере. Сгенерируйте новые параметры, используя, например,

$ openssl dhparam -out dh3072.pem 3072

затем обновите конфигурацию сервера, чтобы использовать эти новые параметры

dh dh3072.pem

и перезапустите сервер.

.
8
ответ дан 3 December 2019 в 00:18

Теги

Похожие вопросы