Szyfrowanie przy użyciu kluczy współdzielonych z wyprzedzeniem

Omówienie

Każdy klucz współdzielony z wyprzedzeniem (PSK) w Zabbix jest w rzeczywistości parą:

  • niejawnego ciągu identyfikatora PSK,
  • tajnego ciągu wartości PSK.

Ciąg identyfikatora PSK jest niepustym ciągiem UTF-8. Na przykład: "PSK ID 001 Zabbix agentd". Jest to unikalna nazwa, za pomocą której ten konkretny PSK jest określany przez komponenty Zabbix. Nie umieszczaj w ciągu identyfikatora PSK żadnych wrażliwych informacji - jest on przesyłany przez sieć bez szyfrowania.

Wartość PSK to trudny do odgadnięcia ciąg cyfr szesnastkowych, na przykład: "e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9".

Limity rozmiaru

W Zabbix obowiązują limity rozmiaru dla tożsamości PSK i wartości PSK; w niektórych przypadkach biblioteka kryptograficzna może mieć niższy limit:

Component PSK identity max size PSK value min size PSK value max size
Zabbix 128 znaków UTF-8 128-bitowy (16-bajtowy PSK, wprowadzany jako 32 cyfry szesnastkowe) 2048-bitowy (256-bajtowy PSK, wprowadzany jako 512 cyfr szesnastkowych)
GnuTLS 128 bajtów (może zawierać znaki UTF-8) - 2048-bitowy (256-bajtowy PSK, wprowadzany jako 512 cyfr szesnastkowych)
OpenSSL 1.0.x, 1.1.0 127 bajtów (może zawierać znaki UTF-8) - 2048-bitowy (256-bajtowy PSK, wprowadzany jako 512 cyfr szesnastkowych)
OpenSSL 1.1.1 127 bajtów (może zawierać znaki UTF-8) - 512-bitowy (64-bajtowy PSK, wprowadzany jako 128 cyfr szesnastkowych)
OpenSSL 1.1.1a and later 127 bajtów (może zawierać znaki UTF-8) - 2048-bitowy (256-bajtowy PSK, wprowadzany jako 512 cyfr szesnastkowych)

frontend Zabbix umożliwia skonfigurowanie ciągu tożsamości PSK o długości do 128 znaków oraz PSK o długości 2048 bitów niezależnie od używanych bibliotek kryptograficznych.
Jeśli niektóre komponenty Zabbix obsługują niższe limity, obowiązkiem użytkownika jest skonfigurowanie tożsamości PSK i wartości PSK o długości dozwolonej dla tych komponentów.
Przekroczenie limitów długości powoduje błędy komunikacji między komponentami Zabbix.

Zanim serwer Zabbix połączy się z agentem przy użyciu PSK, serwer wyszukuje tożsamość PSK i wartość PSK skonfigurowane dla tego agenta w bazie danych (w rzeczywistości w pamięci podręcznej konfiguracji). Po odebraniu połączenia agent używa tożsamości PSK i wartości PSK ze swojego pliku konfiguracyjnego. Jeśli obie strony mają ten sam ciąg tożsamości PSK i tę samą wartość PSK, połączenie może się powieść.

Każda tożsamość PSK musi być powiązana tylko z jedną wartością. Obowiązkiem użytkownika jest upewnienie się, że nie istnieją dwa PSK z tym samym ciągiem tożsamości, ale różnymi wartościami. Niezastosowanie się do tego może prowadzić do nieprzewidywalnych błędów lub zakłóceń komunikacji między komponentami Zabbix korzystającymi z PSK o tym ciągu tożsamości PSK.

Generowanie PSK

Na przykład, 256-bitowy (32-bajtowy) PSK można wygenerować za pomocą następujących poleceń:

  • przy użyciu OpenSSL:
$ openssl rand -hex 32
af8ced32dfe8714e548694e2d29e1a14ba6fa13f216cb35c19d0feb1084b0429
  • przy użyciu GnuTLS:
$ psktool -u psk_identity -p database.psk -s 32
Generating a random key for user 'psk_identity'
Key stored to database.psk

$ cat database.psk 
psk_identity:9b8eafedfaae00cece62e85d5f4792c7d9c9bcc851b23216a1d300311cc4f7cb

Należy pamiętać, że powyższe polecenie "psktool" generuje plik bazy danych z identyfikatorem PSK i powiązanym z nim PSK. Zabbix oczekuje w pliku PSK tylko samego PSK, więc ciąg identyfikatora oraz dwukropek (':') należy usunąć z pliku.

Konfigurowanie PSK dla komunikacji serwer-agent (przykład)

Na hoście agenta zapisz wartość PSK do pliku, na przykład /home/zabbix/zabbix_agentd.psk. Plik musi zawierać PSK w pierwszym ciągu tekstowym, na przykład:

1f87b595725ac58dd977beef14b97461a7c1045b9a1c963065002c5473194952

Ustaw uprawnienia dostępu do pliku PSK - musi być czytelny tylko dla użytkownika Zabbix.

Edytuj parametry TLS w pliku konfiguracyjnym agenta Zabbix (zabbix_agentd.conf). Na przykład ustaw:

TLSConnect=psk
TLSAccept=psk
TLSPSKFile=/home/zabbix/zabbix_agentd.psk
TLSPSKIdentity=PSK 001

Agent będzie łączyć się z serwerem (aktywny check) oraz akceptować od serwera i zabbix_get wyłącznie połączenia używające PSK. Tożsamość PSK będzie miała wartość "PSK 001".

Uruchom ponownie agenta. Teraz możesz przetestować połączenie za pomocą zabbix_get, na przykład:

zabbix_get -s 127.0.0.1 -k "system.cpu.load[all,avg1]" --tls-connect=psk --tls-psk-identity="PSK 001" --tls-psk-file=/home/zabbix/zabbix_agentd.psk

(Aby zminimalizować przestój, zobacz, jak zmienić typ połączenia w Zarządzaniu szyfrowaniem połączeń).

Skonfiguruj szyfrowanie PSK dla tego agenta w frontendzie Zabbix:

  1. Przejdź do: Data collection > Hosts.
  2. Wybierz host i kliknij kartę Encryption.

Przykład:

psk\_config.png

Wszystkie wymagane pola wejściowe są oznaczone czerwoną gwiazdką.

Gdy pamięć podręczna konfiguracji zostanie zsynchronizowana z bazą danych, nowe połączenia będą używać PSK. Sprawdź pliki dziennika serwera i agenta pod kątem komunikatów o błędach.

Konfigurowanie PSK dla komunikacji serwer - aktywny proxy (przykład)

Na proxy zapisz wartość PSK do pliku, na przykład /home/zabbix/zabbix_proxy.psk. Plik musi zawierać PSK w pierwszym ciągu tekstowym, na przykład:

e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9

Ustaw prawa dostępu do pliku PSK - musi być czytelny tylko dla użytkownika Zabbix.

Edytuj parametry TLS w pliku konfiguracyjnym proxy Zabbix (zabbix_proxy.conf). Na przykład ustaw:

TLSConnect=psk
TLSPSKFile=/home/zabbix/zabbix_proxy.psk
TLSPSKIdentity=PSK 002

Proxy połączy się z serwerem przy użyciu PSK. Tożsamość PSK będzie miała wartość "PSK 002".

(Aby zminimalizować przestój, zobacz, jak zmienić typ połączenia w Zarządzanie szyfrowaniem połączeń).

Skonfiguruj PSK dla tego proxy w frontendzie Zabbix. Przejdź do Administration > Proxies, wybierz proxy, przejdź do zakładki Encryption. W sekcji "Connections from proxy" zaznacz PSK. Wklej do pola "PSK identity" wartość "PSK 002" oraz "e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9" do pola "PSK". Kliknij "Update".

Uruchom ponownie proxy. Zacznie ono używać szyfrowanych połączeń opartych na PSK z serwerem. Sprawdź pliki dziennika serwera i proxy pod kątem komunikatów o błędach.

W przypadku pasywnego proxy procedura jest bardzo podobna. Jedyna różnica - ustaw TLSAccept=psk w pliku konfiguracyjnym proxy Zabbix oraz ustaw Connections to proxy w frontendzie Zabbix na PSK.

Rozwiązywanie problemów z PSK

PSK zawiera nieparzystą liczbę cyfr szesnastkowych

Proxy lub agent nie uruchamia się, komunikat w logu proxy lub agenta:

nieprawidłowy PSK w pliku "/home/zabbix/zabbix_proxy.psk"
Ciąg tożsamości PSK dłuższy niż 128 bajtów jest przekazywany do GnuTLS

W logu po stronie klienta TLS:

gnutls_handshake() failed: -110 The TLS connection was non-properly terminated.

W logu po stronie serwera TLS:

gnutls_handshake() failed: -90 The SRP username supplied is illegal.
Zbyt długa wartość PSK użyta z OpenSSL 1.1.1

W logu strony łączącej:

...Biblioteka OpenSSL (wersja OpenSSL 1.1.1  11 Sep 2018) zainicjalizowana
...
...W zbx_tls_connect(): psk_identity:"PSK 1"
...zbx_psk_client_cb() zażądał tożsamości PSK "PSK 1"
...Koniec zbx_tls_connect():FAIL błąd:'SSL_connect() set result code to SSL_ERROR_SSL: file ssl\statem\extensions_clnt.c line 801: error:14212044:SSL routines:tls_construct_ctos_early_data:internal error: TLS write fatal alert "internal error"'

W logu strony przyjmującej:

...Wiadomość od 123.123.123.123 nie zawiera nagłówka. Wiadomość zignorowana.

Ten problem zwykle występuje podczas aktualizacji OpenSSL z wersji 1.0.x lub 1.1.0 do 1.1.1, jeśli wartość PSK jest dłuższa niż 512 bitów (PSK 64-bajtowy, wprowadzony jako 128 cyfr szesnastkowych).

Zobacz też: Ograniczenia rozmiaru wartości