Bug 19209 - не поддерживается cipher NULL
Summary: не поддерживается cipher NULL
Status: CLOSED NOTABUG
Alias: None
Product: Sisyphus
Classification: Development
Component: libssl7 (show other bugs)
Version: unstable
Hardware: all Linux
: P2 normal
Assignee: Evgeny Sinelnikov
QA Contact: qa-sisyphus
URL:
Keywords:
Depends on:
Blocks:
 
Reported: 2009-03-17 02:21 MSK by Anton Farygin
Modified: 2012-03-16 14:00 MSK (History)
3 users (show)

See Also:


Attachments

Note You need to log in before you can comment on or make changes to this bug.
Description Anton Farygin 2009-03-17 02:21:25 MSK
В документации по openvpn для повышения производительности рекомендуется отключать шифрование путём указания cipher NULL для libssl.

в man ciphers это так же подтверждается. Но у нас в libssl7 - не работает.
Comment 1 Evgeny Sinelnikov 2009-03-17 03:18:52 MSK
Возможно не уточнялся какой именно вариант NULL нужно использовать?

Вот два примера - оба у меня работают:
1)
server:
$ openssl s_server -cipher aNULL -nocert
client:
$ openssl s_client -host localhost -cipher aNULL

2)
server:
# openssl s_server -msg -accept 443 -nocert -cipher COMPLEMENTOFALL:aNULL
client:
$ openssl s_client -connect 127.0.0.1:443 -cipher COMPLEMENTOFALL:aNULL

Последний пример взят от сюда:
http://www.nabble.com/An-OpenSSL-server-with-NULL-cipher-support-td15265422.html

[...]
This is requesting a cipher that neither authenticates nor encrypts. There
is just one cipher-suite that does that available with 0.9.8 and later:

    $ openssl ciphers -v 'aNULL+eNULL'
    AECDH-NULL-SHA          SSLv3 Kx=ECDH     Au=None Enc=None      Mac=SHA1

This does anonymous elliptic curve DH key exchange, and provides integrity
(SHA1) with no encryption.
[...]
Comment 2 Evgeny Sinelnikov 2009-05-04 21:23:45 MSD
Думаю, что проблема не найдена, поскольку, без уточнений, суть проблемы не ясна.
Comment 3 Anton Farygin 2009-05-04 22:17:39 MSD
Прошу прощения.. не добрался.

Я не знаю, какие тут ещё нужны уточнения.
Речь идёт про openvpn:
May  4 22:11:33 rider openvpn[4850]: OpenVPN 2.0.8 i586-alt-linux-gnu [SSL] [LZO] [EPOLL] built on Aug 11 2008
May  4 22:11:33 rider openvpn[4850]: Diffie-Hellman initialized with 1024 bit key
May  4 22:11:33 rider openvpn[4850]: Cipher algorithm 'aNULL' not found (OpenSSL)
May  4 22:11:33 rider openvpn[4850]: Exiting

Можно попробовать перевесить на openvpn, но не уверен что это поможет.
Comment 4 Anton Farygin 2009-05-04 22:19:06 MSD
Жень, можешь попробовать у себя поднять openvpn ?

Конфиги я тебе скажу, без проблем.
Comment 5 Anton Farygin 2009-05-04 22:32:16 MSD
/etc/net/ifaces/aaa/options:
ONBOOT=yes
TYPE=ovpn
OVPN_USER=openvpn
OVPN_GROUP=openvpn
BOOTPROTO=static

/etc/net/ifaces/aaa/ovpnoptions:
dev-type tap
proto udp
port 5000
resolv-retry infinite
verb 3
client-to-client
persist-key
persist-tun
mode server
tls-server
cipher aNULL
ifconfig 10.9.0.1 255.255.255.0
ca   /etc/net/ifaces/aaa/ovpnca
dh   /etc/net/ifaces/aaa/dh1024.pem
cert /etc/net/ifaces/aaa/ovpncrt
key  /etc/net/ifaces/aaa/openvpnkey  # This file should be kept secret!
keepalive 10 60

DH файл генериться с помощью:
openssl dhparam -out dh1024.pem 1024

Про генерацию остальных ключей сказано в man openvpn (искать --ca, --cert, --key)

После того, как файлы разложены - сказать ifup aaa
Comment 6 Sir Raorn 2009-05-04 22:56:36 MSD
Ващщета NULL, aNULL и eNULL это "собирательные названия":

$ openssl ciphers -v NULL
NULL-SHA                SSLv3 Kx=RSA      Au=RSA  Enc=None      Mac=SHA1
NULL-MD5                SSLv3 Kx=RSA      Au=RSA  Enc=None      Mac=MD5 

И так далее.  "Set alg=none to disable encryption" говорит дока на openvpn в районе описания опции "--cipher alg"
Comment 7 Anton Farygin 2009-05-04 23:20:05 MSD
Результат не изменяется.

May  4 23:17:43 rider openvpn[27659]: OpenVPN 2.0.8 i586-alt-linux-gnu [SSL] [LZO] [EPOLL] built on Aug 11 2008
May  4 23:17:43 rider openvpn[27659]: Diffie-Hellman initialized with 1024 bit key
May  4 23:17:43 rider openvpn[27659]: Cipher algorithm 'NULL' not found (OpenSSL)
May  4 23:17:43 rider openvpn[27659]: Exiting
Comment 8 Anton Farygin 2009-05-04 23:21:33 MSD
А!
Вру. Заработало. Спасибо!