Pa broses VPN y mae’r canfyddiad bregusrwydd hwnnw’n ei daro?

Mae canlyniad sganiwr yn enwi cyfeiriad, porth a rhywbeth y cytunwyd arno yno. Nid yw’n enwi’r broses y tu ôl i’r soced hwnnw, ac ar westeiwr VPN gall sawl proses rannu’r peiriant tra mai dim ond un ohonynt yw’r twnnel. Mae darllen llinyn fersiwn o offeryn ochr neu ddod o hyd i ffeil llyfrgell ar y disg yn ychwanegu tystiolaeth am y gwesteiwr, nid am y gwrandäwr. Dim ond pan gaiff y canfyddiad ei atodi at un gydran sy’n rhedeg ac yna ei gyfateb i’r cwmpas y mae hysbysiad yn ei ddatgan mewn gwirionedd y mae’n dod yn weithredadwy.

Mae’r drefn yn bwysig: cydran yn gyntaf, hysbysiad yn ail, cywiriad yn drydydd.

Mae’r adroddiad yn enwi porth, nid rhaglen

Dechreuwch o’r pwynt terfyn a aseswyd mewn gwirionedd. Roedd archwiliad yn erbyn y porth gweinyddu HTTPS wedi mesur y gwasanaeth gwe, ei stos TLS a pha bynnag ddirprwy sydd o’i flaen; ni ddysgodd ddim am y gwrandäwr OpenVPN neu WireGuard ar borth gwahanol. Mae dirprwyon gwrthdro ac asiantau rheoli yn gwneud hyn yn waeth, oherwydd gall y dystysgrif a’r baner berthyn i’r blaen tra bod y llyfrgell fregus yn eistedd y tu ôl iddo mewn proses gefn.

Cofnodwch y cyrchfan, y cludiant, y porth a’r enw gwasanaeth gyda’r canlyniad fel bod y cwmpas yn teithio gyda’r canfyddiad.

Beth yw’r adeiladwaith sy’n rhedeg mewn gwirionedd

Ar westeiwr pwrpas cyffredinol, mae’r pecyn a osodwyd a’r llyfrgell a lwythwyd yn gwestiynau ar wahân. Gall cronfa ddata pecynnau restru fersiwn wedi’i chlytio tra bod daemon hirdymor yn dal yr hen wrthrych a rennir wedi’i fapio i’r cof, a gall delwedd offeryn sydd wedi’i bwnio gario ei lyfrgelloedd ei hun nad yw unrhyw reolwr pecynnau yn eu hadrodd. Gofynnwch i reolwr y gwasanaeth beth sy’n rhedeg, yna archwiliwch y broses a’i chysylltiadau.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Yr amser cychwyn yn y rhestr brosesau yw’r manylyn y mae pobl yn ei hepgor. Mae daemon a gychwynnwyd cyn yr uwchraddiad pecyn olaf yn dal i redeg yr adeiladwaith a lwythodd wrth gychwyn, a dyma’n union yr achos lle mae rhestr eiddo yn dweud wedi’i drwsio a’r soced yn dweud fel arall.

Cyfateb yr adeiladwaith i gwmpas hysbysiad

Mae hysbysiadau yn disgrifio cynhyrchion, fersiynau ac weithiau amodau gofynnol, ac nid yw’r tri maes hynny bob amser yn cyfateb i fersiwn pecyn. Mae hysbysiad Heartbleed OpenVPN o Ebrill 2014 yn enghraifft hanesyddol ddefnyddiol oherwydd ei fod yn gwahanu rhyddhau Access Server yr effeithiwyd arnynt oddi wrth y gwasanaethau gwe a’r daemonau VPN, a oedd â gwahanol amlygiad. Y wers yw darllen pa gydran y mae’r testun yn ei chwmpasu yn hytrach na chyfateb y gair OpenSSL yn ôl patrwm.

Mae’r hysbysiad hwnnw hefyd yn dyddio. Nid yw ei rifau rhyddhau wedi’u trwsio yn gyngor gosod nawr, ac nid yw nam a drwsiwyd yn 2014 yn dweud dim am faterion diweddarach yn y gangen rydych yn ei rhedeg heddiw.

Datrys anghytundeb, yna cau amlygiad

Pan fydd rhestr eiddo a’r asesiad yn anghytuno, gwiriwch a yw’r ddau yn disgrifio’r un pwynt terfyn a’r un amgylchedd rhedeg: cyfeiriad arall, dirprwy blaen, ail wasanaeth, hen broses sy’n dal i fod yn rhwym wrth y porth, neu lyfrgell wedi’i bwnio na welodd y rheolwr pecynnau erioed. Datryswch hynny ar y ffin cyn ailysgrifennu adroddiad.

Rhowch y cywiriad a gefnogir ar waith, ailgychwynnwch y gwasanaeth yr effeithiwyd arno a chadarnhewch mai’r adeiladwaith newydd sydd bellach yn rhedeg. Nid yw ffeil wedi’i chlytio ar y disg tra bod yr hen broses yn dal i wasanaethu traffig yn gywiriad.

Yna deliwch â’r hyn y gallai’r gydran fod wedi’i ddal yn ystod y ffenestr amlygiad. Mae clytio ac amnewid tystlythyrau yn ateb cwestiynau gwahanol, ac nid yw tystysgrif a storiwyd yn agos at y gwesteiwr yr effeithiwyd arno ynddo’i hun yn rhestr o’r hyn a ollyngwyd. Dilynwch weithdrefn perchennog y digwyddiad ar gyfer dirymu, tynnu sesiynau ac uwchraddio cleientiaid, a chofnodwch pa gydran yr effeithiwyd arni, pam roedd y dystiolaeth yn berthnasol a beth a’i caeodd. Y cofnod hwnnw yw’r hyn y bydd adolygiad diweddarach yn ei ddarllen.