Týká se ta oprava zabezpečení OpenVPN vůbec vaší instalace?

Rada záplatovat klienta, aby ověřoval certifikáty, je příliš vágní na to, abyste podle ní jednali. Může popisovat opravenou softwarovou chybu, starý build od jednoho poskytovatele nebo profil, který kontrolu nikdy nevyžadoval. To jsou tři různé změny se třemi různými vlastníky. Jednat podle té věty, aniž byste věděli, se kterou se potýkáte, je způsob, jak se funkční klient bezdůvodně upraví.

Oddělte tři tvrzení

Softwarová chyba má bezpečnostní oznámení, postižené verze a opravené vydání. Build poskytovatele má vlastní distribuční kanál a vlastní tempo aktualizací. Vynechání v profilu nemá ani jedno, protože spustitelný soubor je v pořádku a konfigurace žádá méně, než jste předpokládali. Dokud tvrzení nepojmenuje jednu z těch tří, není co testovat.

Než ho začnete hledat, napište tvrzení jednou větou. Pokud věta nedokáže pojmenovat, co je rozbité, hledání nemá cíl a každý výsledek vypadá relevantně.

Najděte spustitelný soubor, který skutečně běží

Než se podíváte na jakoukoli verzi, určete, co spojení spouští. Distribuční služba, desktopový plugin a aplikace dodavatele mohou každý používat jiný spustitelný soubor nebo engine. Verze vypsaná kteroukoli binárkou, která se zrovna ocitne v hledací cestě shellu, není inventářem stroje. Přečtěte si unit nebo proces, který spojení skutečně provedl.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Dotaz na balíček hlásí, co místní metadata považují za nainstalované a dostupné, a tato mezipaměť může být zastaralá, proto ji nejprve obnovte. Také nic neříká o tom, zda běžící služba načetla binárku nainstalovanou před pěti minutami. Porovnejte záznam balíčku s procesem, který je skutečně připojen.

Důkazy z balíčku místo dojmů z verze

Bezpečnostní údržba distribucí často backportuje opravy, takže starší upstream verze může záplatu stále obsahovat. Platí to i obráceně: balíček z neznámého repozitáře nemá automatický nárok na aktuální údržbu. Čtěte stav podpory vydání, ne číslo verze.

Ten rozdíl je rozdíl mezi skutečnou mezerou a číslem, které jen vypadá staré. Zaznamenejte repozitář, ze kterého balíček přišel, protože stejný řetězec verze může dorazit velmi rozdílnými kanály s velmi rozdílnou podporou.

Konfigurace je druhá polovina

Udržovaný spustitelný soubor stále potřebuje profil, který vyžaduje kontroly, jež považujete za zavedené. Důvěryhodná kotva, zamýšlená role protistrany a očekávané jméno serveru jsou související, ale oddělená rozhodnutí. Kontrola role není kontrola jména a ani jedna nenahrazuje druhou. Pokud se varování týká konfigurace, oprava patří tomu, kdo profil vlastní.

Neinstalujte svévolnou záplatu, abyste kompenzovali neověřený profil, a nepřidávejte direktivu, abyste opravili skutečnou chybu implementace. Obě chyby vypadají jako pokrok, a proto se obě stále dějí.

Rozhodujte podle důkazů v záznamu

Rozhodnutí vyplývá z toho, co jste zjistili. Zdokumentovaný postižený balíček vyžaduje svou podporovanou aktualizaci, nepodporovaná platforma potřebuje migrační cestu a klientská aplikace poskytovatele potřebuje pokyny toho poskytovatele. Nejednoznačný pokyn potřebuje oznámení a postiženou komponentu, než se cokoli z toho použije.

Držte aktivního klienta, plnou verzi, oznámení a vlastníka profilu společně v záznamu změny. To je silnější než odkaz na návod a je to to, co bude další člověk skutečně potřebovat.