Памылка слабага шыфра vpnc: палітыка шлюза ці выпраўленне працоўнага стала?

Два выпраўленні выглядаюць аднолькава хуткімі, калі старое злучэнне vpnc адмаўляецца ўзнімацца: перадаць стары сцяг слабага шыфра або падкласці скрыпт-абгортку, які дадае яго за вас. Яны не эквівалентныя, бо адно змяняе палітыку аднаго профілю, а другое змяняе паводзіны кожнай праграмы, якая выклікае гэты шлях. Першае пытанне — ці прапануе шлюз яшчэ слабую прапанову, а другое — каму дазволена яе прыняць. Усё астатняе вынікае з гэтых двух адказаў.

Два выпраўленні з вельмі розным уздзеяннем

Змяненне на ўзроўні профілю закранае адно злучэнне, аднаго ўладальніка і адну дату заканчэння. Замена ўсталяванага двайковага файла закранае кожны фронтэнд на машыне, уключаючы працоўны аплет, які калега выкарыстоўвае для зусім іншага профілю шлюза. Абгортка таксама хавае змяненне ад усіх, хто будзе адладжваць хост праз шэсць месяцаў.

Праверка пакета — першая ахвяра: файл у /usr/sbin/vpnc, які больш не адпавядае свайму пакету, ператварае звычайнае абнаўленне бяспекі ў расследаванне. Тады абнаўленні або моўчкі перазапісваюць абгортку, або адмаўляюцца ўжывацца — у залежнасці ад таго, як менеджар пакетаў абыходзіцца са змененымі файламі. Ні адзін з вынікаў не трапляе ў журнал злучэння, таму падыход з абгорткай застаецца прывабным да першага інцыдэнту. Адзін радок у профілі значна лягчэй знайсці і выдаліць, чым двайковы файл, пра замену якога ніхто не памятае.

Што насамрэч робіць састарэлы пераключальнік

Дапаможнік vpnc пазначае опцыю адзінага DES як састарэлую на карысць налады слабага шыфравання і дакументуе асобную опцыю, якая дазваляе наогул не шыфраваць трафік даных. Гэта розныя ўступкі з рознымі наступствамі. Ні адна з іх не прымушае сучасны шлюз дамаўляцца пра тое, чаго ён ужо не прапануе.

Прачытайце стадыю збою, перш чым выбіраць выпраўленне. Адхіленая прапанова і адхілены пароль даюць падобныя паведамленні фронтэнда, але зусім розныя доказы.

Дзе месца абмежаванаму выключэнню

Калі арганізацыя свядома прымае стары вузел на абмежаваны перыяд, выключэнне павінна быць у профілі гэтага вузла — з уладальнікам, датай перагляду і шляхам міграцыі да падтрымліванага пратакола. Трымаць яго па-за глабальным шляхам — у гэтым і сэнс назвы «абмежаванае».

Папрасіце ўладальніка шлюза пацвердзіць, якія алгарытмы вузел яшчэ прапануе і што яго замяняе. Кліенцкі сцяг не можа выправіць прапанову, якую сервер ужо не дасылае, а міграцыя сервера, якую ніхто не запланаваў, перажыве часовую працу. Пастаўце дату перагляду ў тую ж заяўку, што і выключэнне, каб уступка скончылася, а не стала пастаяннай.

Правярайце перамовы, а не толькі зялёную іконку

Збірайце доказы, якія вызначаюць стадыю, а не настрой дыялога. Каманды ніжэй прызначаныя толькі для чытання, і першыя дзве паказваюць, якая канфігурацыя і версія насамрэч выкарыстоўваюцца.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Трэцяя каманда паведамляе пра файлы, якія больш не адпавядаюць пакету, — менавіта так забытая абгортка выдае сябе. Чацвёртая паказвае ўступкі, якія нясе профіль, каб выключэнне не магло ціха пашырыцца на другі профіль праз скапіяваны файл. Запусціце абедзве да і пасля змянення і захоўвайце вывад разам з профілем злучэння, а не ў акне чата.

Трымайце адладкавы вывад па-за заяўкамі, пакуль хто-небудзь яго не прачытае, бо дапаможнік папярэджвае, што найвышэйшы ўзровень адладкі выводзіць даныя аўтэнтыфікацыі, уключаючы паролі. Крытэрый прыёмкі — дазволеная, падтрымліваная дамова паміж кліентам і шлюзам, а не пункт меню, які нарэшце зелянее. Калі вузел прапануе толькі зламаны алгарытм, сумленны вынік — выключэнне з датай заканчэння або пратакол-замяняльнік, і гэтае рашэнне належыць таму, хто валодае шлюзам. Запіс рашэння — гэта розніца паміж кіраваным выключэннем і выпадковым змяненнем палітыкі.