Aquesta correcció de seguretat d’OpenVPN té a veure amb la vostra instal·lació?

El consell d’aplicar un pedaç al client perquè validi certificats és massa vague per actuar-hi. Pot descriure un defecte de programari ja corregit, una compilació antiga d’un proveïdor o un perfil que mai va demanar la comprovació. Són tres canvis diferents amb tres propietaris diferents. Actuar segons aquesta frase sense saber a quin dels tres us enfronteu és com es modifica un client que funciona sense cap motiu.

Separeu les tres afirmacions

Un defecte de programari té un avís, unes versions afectades i una versió corregida. Una compilació de proveïdor té el seu propi canal de distribució i el seu propi ritme d’actualització. Una omissió del perfil no té cap de les dues coses, perquè l’executable és correcte i la configuració demana menys del que suposàveu. Fins que l’afirmació no anomeni una d’aquestes tres, no hi ha res a provar.

Escriviu l’afirmació en una sola frase abans de buscar-la. Si la frase no pot anomenar què està trencat, la cerca no té objectiu i tots els resultats semblen rellevants.

Trobeu l’executable que realment s’executa

Identifiqueu què inicia la connexió abans de mirar cap versió. Un servei de distribució, un connector d’escriptori i una aplicació de proveïdor poden fer servir cadascun un executable o un motor diferents. La versió que imprimeix qualsevol binari que caigui al camí de cerca de l’intèrpret no és un inventari de la màquina. Llegiu la unitat o el procés que realment va fer la connexió.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

La consulta del paquet informa del que les metadades locals creuen instal·lat i disponible, i aquesta memòria cau pot ser obsoleta, així que actualitzeu-la primer. Tampoc no diu res sobre si el servei en execució ha carregat un binari instal·lat fa cinc minuts. Compareu el registre del paquet amb el procés que realment està connectat.

Evidència del paquet en lloc d’impressions de versió

El manteniment de seguretat de les distribucions sovint retroporta correccions, així que una versió upstream que sembla més antiga encara pot contenir el pedaç. També passa al revés: un paquet d’un repositori desconegut no té cap dret automàtic al manteniment actual. Llegiu l’estat de suport de la versió, no el número de versió.

Aquesta distinció és la diferència entre un buit real i un número que només sembla antic. Anoteu el repositori d’on va venir el paquet, perquè la mateixa cadena de versió pot arribar per canals molt diferents amb suports molt diferents.

La configuració és l’altra meitat

Un executable mantingut encara necessita un perfil que demani les comprovacions que creieu que hi ha. Les ancores de confiança, el rol previst de l’igual i el nom de servidor esperat són decisions relacionades però separades. Una comprovació de rol no és una comprovació de nom, i cap de les dues substitueix l’altra. Si l’avís és sobre la configuració, la correcció pertoca a qui posseeix el perfil.

No instal·leu un pedaç arbitrari per compensar un perfil no verificat, i no afegiu cap directiva per reparar un defecte d’implementació genuí. Tots dos errors semblen progrés, i per això tots dos continuen passant.

Decidiu amb evidència al registre

La decisió es desprèn del que heu establert. Un paquet afectat documentat demana la seva actualització suportada, una plataforma no suportada necessita un camí de migració, i un client de proveïdor necessita l’orientació d’aquell proveïdor. Una instrucció ambigua necessita un avís i un component afectat abans que qualsevol d’aquestes coses s’apliqui.

Manteniu el client actiu, la versió completa, l’avís i el propietari del perfil junts al registre de canvis. Això és més fort que una referència a un tutorial, i és el que la següent persona realment necessitarà.