Da li se ta OpenVPN sigurnosna zakrpa uopće odnosi na vašu instalaciju?

Savjet da se klijent zakrpi kako bi provjeravao certifikate previše je neodređen za djelovanje. Može opisivati ispravljeni softverski nedostatak, staru gradnju jednog pružaoca ili profil koji nikada nije tražio tu provjeru. To su tri različite promjene s tri različita vlasnika. Postupati po toj rečenici bez znanja s kojom se suočavate jeste način da se ispravan klijent izmijeni bez razloga.

Razdvojite tri tvrdnje

Softverski nedostatak ima obavještenje, pogođene verzije i ispravljeno izdanje. Gradnja pružaoca ima vlastiti kanal distribucije i vlastiti ritam ažuriranja. Izostanak u profilu nema ni jedno ni drugo, jer je izvršna datoteka ispravna, a konfiguracija traži manje nego što ste pretpostavili. Dok tvrdnja ne imenuje jednu od te tri, nema se šta testirati.

Zapišite tvrdnju u jednoj rečenici prije nego što je potražite. Ako rečenica ne može imenovati što je pokvareno, pretraga nema cilj i svaki rezultat izgleda relevantno.

Nađite izvršnu datoteku koja zaista radi

Utvrdite što pokreće vezu prije nego što pogledate bilo koju verziju. Distribucijska usluga, desktop dodatak i aplikacija dobavljača mogu svaki koristiti drugu izvršnu datoteku ili motor. Verzija koju ispiše bilo koji binarni program koji se zatekne na putu pretrage ljuske nije popis stroja. Pročitajte jedinicu ili proces koji je zaista obavio vezu.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Upit paketa izvještava šta lokalni metapodaci smatraju instaliranim i dostupnim, a ta keš memorija može biti zastarjela, pa je prvo osvježite. On također ne govori ništa o tome je li usluga koja radi učitala binarni program instaliran prije pet minuta. Uporedite zapis paketa s procesom koji je zaista povezan.

Dokazi iz paketa umjesto dojmova o verziji

Sigurnosno održavanje distribucija često prenosi ispravke unatrag, pa starija verzija koja izgleda kao upstream može još sadržavati zakrpu. Vrijedi i obrnuto: paket iz nepoznatog repozitorija nema automatsko pravo na tekuće održavanje. Čitajte status podrške izdanja, a ne broj verzije.

Ta razlika je razlika između stvarne praznine i broja koji samo izgleda star. Zabilježite repozitorij iz kojeg je paket došao, jer isti niz verzije može stići kroz vrlo različite kanale s vrlo različitom podrškom.

Konfiguracija je druga polovina

Održavana izvršna datoteka još treba profil koji traži provjere koje smatrate prisutnim. Sidra povjerenja, namijenjena uloga druge strane i očekivano ime servera povezane su, ali odvojene odluke. Provjera uloge nije provjera imena i nijedna ne zamjenjuje drugu. Ako je upozorenje o konfiguraciji, ispravka pripada onome ko posjeduje profil.

Ne instalirajte proizvoljnu zakrpu da nadoknadite neprovjeren profil i ne dodajte direktivu da popravite stvarni nedostatak implementacije. Obje greške izgledaju kao napredak, zato se obje i ponavljaju.

Odlucite na osnovu dokaza u zapisu

Odluka proizlazi iz onoga što ste utvrdili. Dokumentovan pogođen paket traži svoje podržano ažuriranje, nepodržana platforma treba put migracije, a klijent pružaoca treba smjernice tog pružaoca. Dvosmislena uputa treba obavještenje i pogođenu komponentu prije nego se bilo šta od toga primijeni.

Držite aktivni klijent, punu verziju, obavještenje i vlasnika profila zajedno u zapisu promjene. To je jače od reference na tutorijal i to je ono što će sljedećoj osobi zaista trebati.