Παρωχημένες γραμμές κρυπτογράφησης σε παλιά προφίλ VPN: διαβάστε πριν αντιγράψετε

Αυτό το προφίλ γράφτηκε το 2016 και ακόμη εισάγεται και ακόμη συνδέεται. Γι’ αυτό ακριβώς κανείς δεν το κοιτάζει. Ο πελάτης που κάποτε διάβαζε αυτές τις οδηγίες έχει προ πολλού φύγει, και η τρέχουσα έκδοση μπορεί να ερμηνεύει αρκετές από αυτές διαφορετικά.

Το ότι ένα αρχείο επιβιώνει δεν σημαίνει ότι η διαμόρφωση είναι επίκαιρη. Ο διαχωρισμός αυτών των δύο ιδεών είναι το μεγαλύτερο μέρος της δουλειάς.

Βρείτε ποιος πελάτης έγραψε το προφίλ

Ξεκινήστε από τον εκδότη και την έκδοση. Η σημασία μιας οδηγίας ορίζεται από την υλοποίηση που τη διαβάζει. Μια γραμμή που κάποτε επέλεγε αλγόριθμο μπορεί να γίνει εφεδρική λίστα, προειδοποίηση ή σκληρό σφάλμα. Ποια έκδοση την ερμηνεύει καθορίζει το αποτέλεσμα.

OpenVPN είναι το πιο ξεκάθαρο παράδειγμα. Η έκδοση 2.5 εισήγαγε data-ciphers και άλλαξε τον τρόπο με τον οποίο η παλαιότερη οδηγία cipher συμμετέχει στη διαπραγμάτευση. Ένα προφίλ που φέρει μόνο cipher AES-128-CBC κάνει τώρα μια πολύ στενότερη πρόταση από ό,τι σκόπευε ο συγγραφέας του.

Διαβάστε τις σημειώσεις έκδοσης για τη ρύθμιση που πλέον προειδοποιεί ή αποτυγχάνει. Μια προειδοποίηση στο αρχείο καταγραφής είναι γεγονός για την τρέχουσα έκδοση και υπερισχύει της ανάμνησης οποιουδήποτε για το γιατί προστέθηκε η γραμμή.

Δείτε τι διαπραγματεύτηκε πραγματικά

Η επιτυχής εισαγωγή αποδεικνύει την ανάλυση, όχι την πολιτική. Το διαπραγματευμένο αποτέλεσμα εμφανίζεται στο αρχείο καταγραφής του πελάτη αφού σηκωθεί η σύνδεση. Μπορεί να διαφέρει από τα δύο άκρα του αρχείου διαμόρφωσης.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Μια αποδεκτή εισαγωγή που αφήνει ήσυχα μια οδηγία να πέσει αφήνει ένα προφίλ που διαβάζεται με έναν τρόπο και συμπεριφέρεται με άλλον. Αυτό το κενό εξηγεί πώς ένα έγγραφο με χαρακτηρισμό «θωρακισμένο» διαπραγματεύεται κάτι πιο αδύναμο από ό,τι ισχυρίζεται το ίδιο του το κείμενο. Το αρχείο καταγραφής είναι το μόνο σημείο όπου φαίνεται η διαφορά. Διαβάστε το πριν εμπιστευτείτε το αρχείο.

Αναβαθμίστε τη διάταξη, όχι τη γραμμή

Πάρτε το προφίλ που συντηρεί ο πάροχος αντί να συναρμολογείτε ονόματα αλγορίθμων μέχρι να σταματήσει η εισαγωγή να παραπονιέται. Η προσθήκη γραμμών δοκιμαστικά αντιστρέφει την κατεύθυνση της διόρθωσης. Προσαρμόζει τον πελάτη σε έναν άγνωστο διακομιστή αντί να καθορίσει τι υποστηρίζει ο διακομιστής.

Μπορεί και ο διακομιστής να χρειάζεται τη συντονισμένη αναβάθμιση. Ένας τρέχων πελάτης δεν μπορεί να δημιουργήσει υποστήριξη για μια πρόταση που το άλλο άκρο δεν προσφέρει ποτέ. Καμία επιλογή στην πλευρά του πελάτη δεν αντικαθιστά μια πύλη που δεν έχει ενημερωθεί.

Αυτό που δεν πρέπει να θυσιαστεί είναι η επαλήθευση. Η αφαίρεση των ελέγχων πιστοποιητικών, η απενεργοποίηση του ελέγχου ονόματος κεντρικού υπολογιστή ή το κλείσιμο των ενημερώσεων για να κρατηθεί ζωντανό ένα παλιό προφίλ μετατρέπει ένα πρόβλημα συμβατότητας σε πρόβλημα εμπιστοσύνης. Αυτό συνήθως συμβαίνει μια μικρή επεξεργασία τη φορά.

Επιβεβαιώστε το αποτέλεσμα και καταγράψτε την εξαίρεση

Μετά την αλλαγή, εξετάστε ξανά το διαπραγματευμένο σύνολο και δοκιμάστε τον πόρο για τον οποίο υπάρχει η σήραγγα. Ένα προφίλ που διαπραγματεύεται αυτό που θέλατε και εξακολουθεί να μην φτάνει στην υπηρεσία έχει πρόβλημα δρομολόγησης ή ταυτότητας. Δεν έχει κρυπτογραφικό πρόβλημα.

Κρατήστε την προηγούμενη γνωστή καλή διαμόρφωση σε προστατευμένη θέση. Η σύγκριση είναι δυνατή μόνο όσο το παλιό αρχείο υπάρχει ακόμη.

Τεκμηριώστε κάθε εξαίρεση συμβατότητας με υπεύθυνο και ημερομηνία αναθεώρησης. Μια προσωρινή διευθέτηση χωρίς υπεύθυνο γίνεται μόνιμη πολιτική. Το επόμενο άτομο που θα διαβάσει το αρχείο θα υποθέσει ότι επιλέχθηκε σκόπιμα.