vpnc greška slabog šifriranja: politika pristupnika ili popravka na radnoj površini?

Dvije popravke izgledaju jednako brze kada stara vpnc veza odbija da se uspostavi: prosljeđivanje stare zastavice slabog šifriranja ili ubacivanje omotačke skripte koja je dodaje umjesto vas. One nisu ekvivalentne, jer jedna mijenja politiku jednog profila, a druga ponašanje svakog programa koji poziva taj put. Prvo pitanje je da li pristupnik još nudi slabu ponudu, a drugo ko je smije prihvatiti. Sve ostalo slijedi iz ta dva odgovora.

Dvije popravke vrlo različitog dometa

Promjena na nivou profila dira jednu vezu, jednog vlasnika i jedan datum isteka. Zamjena instaliranog binarnog fajla dira svaki frontend na mašini, uključujući desktop aplet koji kolega koristi za sasvim drugi profil pristupnika. Omotač također skriva promjenu od svakoga ko bude otklanjao probleme na hostu šest mjeseci kasnije.

Provjera paketa je prva žrtva: fajl na /usr/sbin/vpnc koji više ne odgovara svom paketu pretvara rutinsko sigurnosno ažuriranje u istragu. Ažuriranja tada ili tiho prepisuju omotač, ili odbijaju da se primijene, zavisno od toga kako upravitelj paketa tretira izmijenjene fajlove. Nijedan ishod se ne pojavljuje u dnevniku veze, zato pristup s omotačem ostaje privlačan sve do prvog incidenta. Jedan red u profilu je daleko lakše pronaći i ukloniti nego binarni fajl za koji se niko ne sjeća da ga je zamijenio.

Šta zastarjeli prekidač zapravo radi

vpnc priručnik označava opciju pojedinačnog DES-a kao zastarjelu u korist postavke slabog šifriranja i dokumentira zasebnu opciju koja dopušta nikakvo šifriranje podatkovnog saobraćaja. To su različiti ustupci s različitim posljedicama. Nijedan od njih ne tjera moderan pristupnik da pregovara o nečemu što više ne nudi.

Pročitajte fazu neuspjeha prije nego što odaberete popravku. Odbijena ponuda i odbijena lozinka daju slične poruke frontenda, ali potpuno različite dokaze.

Gdje pripada ograničeni izuzetak

Ako organizacija svjesno prihvata stari peer na ograničeno vrijeme, izuzetak pripada profilu tog peera, s vlasnikom, datumom pregleda i putem migracije na podržani protokol. Držati ga izvan globalnog puta i jeste cijeli smisao naziva ograničen.

Neka vlasnik pristupnika potvrdi koje algoritme peer još predlaže i šta ga zamjenjuje. Klijentska zastavica ne može popraviti ponudu koju server više ne šalje, a migracija servera koju niko nije zakazao nadživjet će privremeno rješenje. Stavite datum pregleda u isti tiket kao izuzetak, da ustupak istekne umjesto da postane trajan.

Provjerite pregovaranje, ne samo zelenu ikonu

Prikupljajte dokaze koji identificiraju fazu, a ne raspoloženje dijaloga. Naredbe ispod su samo za čitanje, a prve dvije pokazuju koja konfiguracija i verzija su zaista u upotrebi.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Treća naredba prijavljuje fajlove koji više ne odgovaraju paketu, i tako se zaboravljeni omotač sam najavljuje. Četvrta pokazuje ustupke koje profil nosi, da se izuzetak ne može tiho proširiti na drugi profil preko kopiranog fajla. Pokrenite obje prije i poslije promjene i čuvajte izlaz uz profil veze, a ne u chat prozoru.

Držite debug izlaz izvan tiketa dok ga neko ne pročita, jer priručnik upozorava da najviši nivo debuga izbacuje autentifikacijske podatke, uključujući lozinke. Kriterij prihvatanja je odobren, podržan sporazum između klijenta i pristupnika, a ne stavka menija koja konačno postane zelena. Ako peer nudi samo pokvaren algoritam, iskren ishod je izuzetak s krajnjim datumom ili zamjenski protokol, a ta odluka pripada onome ko posjeduje pristupnik. Zapisivanje odluke je razlika između upravljanog izuzetka i slučajne promjene politike.