vpnc-Fehler bei schwacher Verschlüsselung: Gateway-Richtlinie oder Desktop-Reparatur?

Zwei Reparaturen wirken gleich schnell, wenn eine alte vpnc-Verbindung nicht zustande kommt: das alte Schwachverschlüsselungs-Flag übergeben oder ein Wrapper-Skript einspielen, das es für Sie hinzufügt. Sie sind nicht gleichwertig, denn die eine ändert die Richtlinie eines einzelnen Profils, die andere das Verhalten jedes Programms, das diesen Pfad aufruft. Die erste Frage ist, ob das Gateway überhaupt noch einen schwachen Vorschlag anbietet, und die zweite, wer ihn annehmen darf. Alles Weitere folgt aus diesen beiden Antworten.

Zwei Reparaturen mit sehr unterschiedlicher Reichweite

Eine Änderung auf Profilebene betrifft eine Verbindung, einen Verantwortlichen und ein Ablaufdatum. Der Austausch der installierten Binärdatei betrifft jedes Frontend auf dem Rechner, einschließlich des Desktop-Applets, das ein Kollege für ein völlig anderes Gateway-Profil nutzt. Der Wrapper verbirgt die Änderung zudem vor jedem, der den Host ein halbes Jahr später debuggt.

Die Paketprüfung ist das erste Opfer: eine Datei unter /usr/sbin/vpnc, die nicht mehr zu ihrem Paket passt, macht aus einem Routinesicherheitsupdate eine Untersuchung. Upgrades überschreiben dann entweder stillschweigend den Wrapper oder verweigern die Anwendung, je nachdem, wie der Paketmanager geänderte Dateien behandelt. Keines der Ergebnisse erscheint im Verbindungsprotokoll, weshalb der Wrapper-Ansatz bis zum ersten Vorfall attraktiv bleibt. Eine einzelne Zeile in einem Profil ist weit leichter zu finden und zu entfernen als eine Binärdatei, von deren Austausch sich niemand erinnert.

Was der veraltete Schalter tatsächlich tut

Das vpnc-Handbuch kennzeichnet die Single-DES-Option als veraltet zugunsten einer Einstellung für schwache Verschlüsselung und dokumentiert eine separate Option, die für Datenverkehr gar keine Verschlüsselung zulässt. Das sind unterschiedliche Zugeständnisse mit unterschiedlichen Folgen. Keines davon bringt ein modernes Gateway dazu, über etwas zu verhandeln, das es nicht mehr anbietet.

Lesen Sie die Fehlerstufe, bevor Sie eine Reparatur wählen. Ein abgelehnter Vorschlag und ein abgelehntes Passwort erzeugen ähnliche Frontend-Meldungen, aber völlig unterschiedliche Beweise.

Wohin eine begrenzte Ausnahme gehört

Wenn eine Organisation bewusst einen Alt-Peer für einen begrenzten Zeitraum akzeptiert, gehört die Ausnahme in das Profil dieses Peers, mit einem Verantwortlichen, einem Prüfdatum und einem Migrationspfad zu einem unterstützten Protokoll. Sie aus dem globalen Pfad herauszuhalten ist der ganze Sinn der Bezeichnung begrenzt.

Lassen Sie den Gateway-Verantwortlichen bestätigen, welche Algorithmen der Peer noch anbietet und was ihn ersetzt. Ein Client-Flag kann keinen Vorschlag reparieren, den der Server nicht mehr sendet, und eine Servermigration, die niemand eingeplant hat, wird den Workaround überleben. Setzen Sie das Prüfdatum in dasselbe Ticket wie die Ausnahme, damit das Zugeständnis ausläuft, statt dauerhaft zu werden.

Prüfen Sie die Aushandlung, nicht nur das grüne Symbol

Sammeln Sie Belege, die die Stufe bezeichnen, statt die Stimmung des Dialogs. Die folgenden Befehle sind schreibgeschützt, und die ersten beiden zeigen, welche Konfiguration und Version tatsächlich im Spiel sind.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Der dritte Befehl meldet Dateien, die nicht mehr zum Paket passen, und so meldet sich ein vergessener Wrapper. Der vierte zeigt die Zugeständnisse, die das Profil trägt, damit sich eine Ausnahme nicht still über eine kopierte Datei auf ein zweites Profil ausbreitet. Führen Sie beide vor und nach einer Änderung aus, und bewahren Sie die Ausgabe beim Verbindungsprofil auf, nicht in einem Chatfenster.

Halten Sie Debug-Ausgaben aus Tickets heraus, bis jemand sie gelesen hat, denn das Handbuch warnt, dass die höchste Debug-Stufe Authentifizierungsdaten einschließlich Passwörtern ausgibt. Das Abnahmekriterium ist eine autorisierte, unterstützte Vereinbarung zwischen Client und Gateway, kein Menüeintrag, der endlich grün wird. Wenn der Peer nur einen defekten Algorithmus anbietet, ist das ehrliche Ergebnis eine Ausnahme mit Enddatum oder ein Ersatzprotokoll, und diese Entscheidung gehört dem, der das Gateway besitzt. Die Entscheidung festzuhalten ist der Unterschied zwischen einer verwalteten Ausnahme und einer versehentlichen Richtlinienänderung.