خطأ التشفير الضعيف في vpnc: سياسة البوابة أم إصلاح سطح المكتب؟

يبدو الإصلاحان سريعين بالقدر نفسه عندما يرفض اتصال vpnc قديم أن يعمل: تمرير علم التشفير الضعيف القديم، أو إسقاط برنامج نصي غلافي يضيفه لك. وهما ليسا متكافئين، لأن أحدهما يغيّر سياسة ملف شخصي واحد والآخر يغيّر سلوك كل برنامج يستدعي ذلك المسار. السؤال الأول هو ما إذا كانت البوابة لا تزال تعرض اقتراحاً ضعيفاً أصلاً، والثاني هو من يُسمح له بقبوله. كل ما تبقى يتبع من هذين الجوابين.

إصلاحان بنطاق تأثير مختلف جداً

التغيير على مستوى الملف الشخصي يمس اتصالاً واحداً ومالكاً واحداً وتاريخ انتهاء واحداً. أما استبدال الملف الثنائي المثبّت فيمس كل واجهة أمامية على الجهاز، بما في ذلك تطبيق سطح المكتب الذي يستخدمه زميل لملف بوابة مختلف تماماً. كما يُخفي الغلاف التغيير عن كل من يشخّص المضيف بعد ستة أشهر.

التحقق من الحزمة هو أول ضحية: ملف في /usr/sbin/vpnc لم يعد مطابقاً لحزمته يحوّل تحديثاً أمنياً روتينياً إلى تحقيق. وعندها إما أن تكتب الترقيات فوق الغلاف بصمت أو ترفض التطبيق، حسب طريقة تعامل مدير الحزم مع الملفات المعدّلة. لا يظهر أي من النتيجتين في سجل الاتصال، ولهذا يبقى نهج الغلاف جاذباً حتى أول حادث. سطر واحد في ملف شخصي أسهل بكثير في العثور عليه وإزالته من ملف ثنائي لا يتذكر أحد أنه استبدله.

ما يفعله المفتاح المهجور فعلاً

يصف دليل vpnc خيار DES الأحادي بأنه مهجور لصالح إعداد تشفير ضعيف، ويوثّق خياراً منفصلاً يسمح بعدم تشفير بيانات المرور إطلاقاً. هذه تنازلات مختلفة لها عواقب مختلفة. ولا أي منها يجعل بوابة حديثة تتفاوض على شيء لم تعد تقدمه.

اقرأ مرحلة الفشل قبل اختيار الإصلاح. الاقتراح المرفوض وكلمة المرور المرفوضة ينتجان رسائل واجهة متشابهة لكن أدلة مختلفة تماماً.

أين ينتمي الاستثناء المحدود

إذا قبلت مؤسسة عن علم نظيراً قديماً لفترة محدودة، فإن الاستثناء ينتمي إلى ملف ذلك النظير، مع مالك وتاريخ مراجعة ومسار ترحيل إلى بروتوكول مدعوم. إبقاؤه خارج المسار العام هو بيت القصيد من تسميته محدوداً.

اطلب من مالك البوابة تأكيد الخوارزميات التي لا يزال النظير يعرضها وما الذي يحل محلها. لا يمكن لعلم العميل إصلاح اقتراح لم يعد الخادم يرسله، وترحيل خادم لم يجدوله أحد سيعيش أطول من الحل المؤقت. ضع تاريخ المراجعة في التذكرة نفسها مع الاستثناء، كي ينتهي التنازل بدلاً من أن يصبح دائماً.

افحص التفاوض، لا الأيقونة الخضراء فقط

اجمع أدلة تحدد المرحلة بدلاً من مزاج مربع الحوار. الأوامر أدناه للقراءة فقط، وأول أمرين يظهران أي إعداد وأي إصدار مستخدمان فعلاً.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

الأمر الثالث يبلّغ عن ملفات لم تعد مطابقة للحزمة، وهكذا يعلن الغلاف المنسي عن نفسه. الأمر الرابع يظهر التنازلات التي يحملها الملف الشخصي، حتى لا ينتشر استثناء بهدوء إلى ملف شخصي ثانٍ عبر ملف منسوخ. شغّل الاثنين قبل التغيير وبعده، واحفظ المخرجات مع ملف الاتصال لا في نافذة دردشة.

أبقِ مخرجات التصحيح خارج التذاكر حتى يقرأها أحد، لأن الدليل يحذّر من أن أعلى مستوى تصحيح يُفرغ بيانات المصادقة بما فيها كلمات المرور. معيار القبول هو اتفاق مصرّح به ومدعوم بين العميل والبوابة، لا بند قائمة يتحول أخيراً إلى الأخضر. إذا كان النظير يعرض خوارزمية معطوبة فقط، فالنتيجة الصادقة استثناء بتاريخ انتهاء أو بروتوكول بديل، وذلك القرار يخص من يملك البوابة. تسجيل القرار هو الفرق بين استثناء مُدار وتغيير سياسة عرضي.