Chyba slabé šifry vpnc: politika brány, nebo oprava na ploše?

Dvě opravy vypadají stejně rychle, když se staré připojení vpnc odmítá zvednout: předat starý příznak slabé šifry, nebo vložit obalový skript, který ho přidá za vás. Nejsou rovnocenné, protože jedna mění politiku jediného profilu a druhá chování každého programu, který tuto cestu volá. První otázka je, zda brána ještě vůbec nabízí slabý návrh, a druhá, kdo ho smí přijmout. Všechno ostatní z těch dvou odpovědí vyplývá.

Dvě opravy s velmi rozdílným dosahem

Změna na úrovni profilu se dotkne jednoho připojení, jednoho vlastníka a jednoho data vypršení. Nahrazení nainstalovaného binárního souboru se dotkne každého frontendu na stroji, včetně appletu na ploše, který kolega používá pro zcela jiný profil brány. Obal také skryje změnu před každým, kdo bude za šest měsíců ladit hostitele.

Ověření balíčku je první obětí: soubor v /usr/sbin/vpnc, který už neodpovídá svému balíčku, mění rutinní bezpečnostní aktualizaci v vyšetřování. Aktualizace pak buď obal tiše přepíšou, nebo odmítnou se použít, podle toho, jak správce balíčků zachází s upravenými soubory. Ani jeden výsledek se neobjeví v protokolu připojení, a proto zůstává obalový přístup lákavý až do prvního incidentu. Jeden řádek v profilu je mnohem snazší najít a odstranit než binární soubor, o jehož nahrazení si nikdo nepamatuje.

Co starý přepínač vlastně dělá

Příručka vpnc označuje volbu jediného DES za zastaralou ve prospěch nastavení slabého šifrování a dokumentuje samostatnou volbu, která připouští vůbec žádné šifrování datového provozu. To jsou různé ústupky s různými důsledky. Ani jeden z nich nepřiměje moderní bránu vyjednávat něco, co už nenabízí.

Přečtěte si fázi selhání, než zvolíte opravu. Odmítnutý návrh a odmítnuté heslo dávají podobné zprávy frontendu, ale zcela odlišné důkazy.

Kam patří omezená výjimka

Pokud organizace vědomě přijímá starý protějšek na omezenou dobu, výjimka patří do profilu toho protějšku, s vlastníkem, datem revize a cestou migrace na podporovaný protokol. Držet ji mimo globální cestu je celý smysl slova omezená.

Nechte vlastníka brány potvrdit, které algoritmy protějšek ještě nabízí a co ho nahradí. Klientský příznak nemůže opravit návrh, který server už neposílá, a migrace serveru, kterou nikdo nenaplánoval, přežije dočasné řešení. Dejte datum revize do stejného tiketu jako výjimku, aby ústupek vypršel, místo aby se stal trvalým.

Kontrolujte vyjednávání, ne jen zelenou ikonu

Sbírejte důkazy, které určují fázi, ne náladu dialogu. Níže uvedené příkazy jsou pouze pro čtení a první dva ukazují, která konfigurace a verze jsou skutečně ve hře.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Třetí příkaz hlásí soubory, které už neodpovídají balíčku, a tak se zapomenutý obal sám prozradí. Čtvrtý ukazuje ústupky, které profil nese, aby se výjimka nemohla tiše rozšířit do druhého profilu zkopírovaným souborem. Spusťte oba před změnou i po ní a výstup uchovejte u profilu připojení, ne v chatovacím okně.

Držte ladicí výstup mimo tikety, dokud ho někdo nepřečte, protože příručka varuje, že nejvyšší úroveň ladění vypisuje autentizační data včetně hesel. Kritérium přijetí je povolená, podporovaná dohoda mezi klientem a bránou, ne položka menu, která konečně zezelená. Pokud protějšek nabízí jen rozbitý algoritmus, poctivým výsledkem je výjimka s datem konce nebo náhradní protokol a toto rozhodnutí patří tomu, kdo bránu vlastní. Zapsání rozhodnutí je rozdíl mezi řízenou výjimkou a náhodnou změnou politiky.