Error de xifrat feble de vpnc: política de la passarel·la o reparació d'escriptori?

Dues reparacions semblen igual de ràpides quan una connexió vpnc antiga es nega a aixecar-se: passar l'antic indicador de xifrat feble o inserir un script embolcall que l'afegeixi per vosaltres. No són equivalents, perquè una canvia la política d'un sol perfil i l'altra canvia el comportament de cada programa que crida aquest camí. La primera pregunta és si la passarel·la encara ofereix una proposta feble, i la segona és qui té permís per acceptar-la. Tota la resta se'n deriva d'aquestes dues respostes.

Dues reparacions amb un abast molt diferent

Un canvi a nivell de perfil toca una connexió, un propietari i una data de caducitat. Substituir el binari instal·lat toca cada frontend de la màquina, inclòs l'aplet d'escriptori que un company fa servir per a un perfil de passarel·la completament diferent. L'embolcall també amaga el canvi a qui depuri l'amfitrió sis mesos després.

La verificació del paquet és la primera víctima: un fitxer a /usr/sbin/vpnc que ja no coincideix amb el seu paquet converteix una actualització de seguretat rutinària en una investigació. Aleshores les actualitzacions o bé sobreescriuen l'embolcall en silenci o bé es neguen a aplicar-se, segons com tracti el gestor de paquets els fitxers modificats. Cap dels dos resultats apareix al registre de connexió, i per això l'enfocament de l'embolcall continua sent atractiu fins al primer incident. Una sola línia en un perfil és molt més fàcil de trobar i de treure que un binari que ningú recorda haver substituït.

Què fa realment l'interruptor obsolet

El manual de vpnc marca l'opció d'un sol DES com a obsoleta en favor d'un paràmetre de xifrat feble, i documenta una opció separada que permet no xifrar gens el trànsit de dades. Són concessions diferents amb conseqüències diferents. Cap de les dues fa que una passarel·la moderna negociï una cosa que ja no ofereix.

Llegiu la fase de fallada abans de triar una reparació. Una proposta rebutjada i una contrasenya rebutjada produeixen missatges de frontend similars però proves completament diferents.

On correspon una excepció limitada

Si una organització accepta conscientment un parell antic durant un període limitat, l'excepció correspon al perfil d'aquest parell, amb un propietari, una data de revisió i un camí de migració cap a un protocol suportat. Mantenir-la fora del camí global és tot el sentit de dir-ne limitada.

Feu que el propietari de la passarel·la confirmi quins algorismes encara proposa el parell i què el substitueix. Un indicador de client no pot reparar una proposta que el servidor ja no envia, i una migració de servidor que ningú no ha planificat sobreviurà a la solució temporal. Poseu la data de revisió al mateix tiquet que l'excepció, perquè la concessió caduqui en lloc de fer-se permanent.

Comproveu la negociació, no només la icona verda

Recolliu proves que identifiquin la fase en lloc de l'estat d'ànim del diàleg. Les ordres següents són només de lectura, i les dues primeres mostren quina configuració i versió estan realment en joc.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

La tercera ordre informa de fitxers que ja no coincideixen amb el paquet, i així és com es delata un embolcall oblidat. La quarta mostra les concessions que porta el perfil, perquè una excepció no es pugui estendre en silenci a un segon perfil mitjançant un fitxer copiat. Executeu les dues abans i després d'un canvi, i guardeu la sortida amb el perfil de connexió en lloc d'una finestra de xat.

Manteniu la sortida de depuració fora dels tiquets fins que algú l'hagi llegida, perquè el manual adverteix que el nivell més alt de depuració aboca dades d'autenticació, contrasenyes incloses. El criteri d'acceptació és un acord autoritzat i suportat entre client i passarel·la, no una entrada de menú que finalment es torna verda. Si el parell només ofereix un algorisme trencat, el resultat honest és una excepció amb data de finalització o un protocol substitut, i aquesta decisió pertany a qui posseeix la passarel·la. Enregistrar la decisió és la diferència entre una excepció gestionada i un canvi de política accidental.