vpnc-fout met swak versleuteling: gatewaybeleid of herstel op die lessenaar?

Twee herstellings lyk ewe vinnig wanneer 'n ou vpnc-verbinding weier om op te kom: gee die ou swak-versleutelingsvlag deur, of plaas 'n omhullende skrip wat dit vir jou byvoeg. Hulle is nie gelykwaardig nie, want een verander die beleid van 'n enkele profiel en die ander verander die gedrag van elke program wat daardie pad gebruik. Die eerste vraag is of die gateway steeds 'n swak voorstel bied, en die tweede is wie dit mag aanvaar. Alles anders volg uit daardie twee antwoorde.

Twee herstellings met baie verskillende impak

'n Verandering op profielvlak raak een verbinding, een eienaar en een vervaldatum. Die vervanging van die geïnstalleerde binêre lêer raak elke frontend op die masjien, insluitend die lessenaar-applet wat 'n kollega vir 'n heeltemal ander gatewayprofiel gebruik. Die omhullende skrip verberg ook die verandering vir elkeen wat die gasheer ses maande later ontfout.

Pakketverifikasie is die eerste slagoffer: 'n lêer by /usr/sbin/vpnc wat nie meer by sy pakket pas nie, verander 'n roetine-sekuriteitsopdatering in 'n ondersoek. Opdaterings oorskryf dan óf die omhullende skrip stilweg óf weier om toe te pas, afhangend van hoe die pakketbestuurder gewysigde lêers hanteer. Nie een van die uitkomste verskyn in die verbindingslog nie, en daarom bly die omhullende benadering aantreklik tot die eerste voorval. 'n Enkele reël in 'n profiel is baie makliker om te vind en te verwyder as 'n binêre lêer wat niemand onthou hulle het dit vervang nie.

Wat die verouderde skakelaar werklik doen

Die vpnc-handleiding merk die enkel-DES-opsie as verouderd ten gunste van 'n swak-versleutelingsinstelling, en dokumenteer 'n aparte opsie wat glad geen versleuteling vir datastroom toelaat nie. Dit is verskillende toegewings met verskillende gevolge. Nie een van hulle laat 'n moderne gateway iets onderhandel wat dit nie meer bied nie.

Lees die mislukkingstadium voordat jy 'n herstel kies. 'n Verwerpte voorstel en 'n verwerpte wagwoord lewer soortgelyke frontend-boodskappe maar heeltemal verskillende bewyse.

Waar 'n beperkte uitsondering hoort

As 'n organisasie bewustelik 'n ou eweknie vir 'n beperkte tydperk aanvaar, hoort die uitsondering in daardie eweknie se profiel, met 'n eienaar, 'n hersieningsdatum en 'n migrasiepad na 'n ondersteunde protokol. Om dit uit die globale pad te hou, is juis die punt daarvan om dit beperk te noem.

Laat die gateway-eienaar bevestig watter algoritmes die eweknie steeds voorstel en wat dit vervang. 'n Kliëntvlag kan nie 'n voorstel herstel wat die bediener nie meer stuur nie, en 'n bediener-migrasie wat niemand beplan het nie, sal die tydelike oplossing oorleef. Sit die hersieningsdatum in dieselfde kaartjie as die uitsondering, sodat die toegewing verval in plaas daarvan om permanent te word.

Kontroleer die onderhandeling, nie net die groen ikoon nie

Versamel bewyse wat die stadium identifiseer eerder as die stemming van die dialoog. Die opdragte hieronder is net lees, en die eerste twee wys watter konfigurasie en weergawe werklik in gebruik is.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Die derde opdrag rapporteer lêers wat nie meer by die pakket pas nie, en dit is hoe 'n vergete omhullende skrip homself aankondig. Die vierde wys die toegewings wat die profiel dra, sodat 'n uitsondering nie stilweg na 'n tweede profiel kan versprei deur 'n gekopieerde lêer nie. Voer albei voor en ná 'n verandering uit, en hou die uitset by die verbindingsprofiel eerder as in 'n kletsvenster.

Hou ontfoutuitset uit kaartjies totdat iemand dit gelees het, want die handleiding waarsku dat die hoogste ontfoutvlak verifikasiedata insluitend wagwoorde uitgooi. Die aanvaardingskriterium is 'n gemagtigde, ondersteunde ooreenkoms tussen kliënt en gateway, nie 'n menu-inskrywing wat uiteindelik groen word nie. As die eweknie net 'n stukkende algoritme bied, is die eerlike uitkoms 'n uitsondering met 'n einddatum of 'n vervangingsprotokol, en daardie besluit behoort aan wie ook al die gateway besit. Om die besluit op te teken is die verskil tussen 'n bestuurde uitsondering en 'n toevallige beleidsverandering.