Σφάλμα αδύναμης κρυπτογράφησης vpnc: πολιτική πύλης ή επιδιόρθωση επιφάνειας εργασίας;

Δύο επιδιορθώσεις φαίνονται εξίσου γρήγορες όταν μια παλιά σύνδεση vpnc αρνείται να σηκωθεί: περνάτε την παλιά σημαία αδύναμης κρυπτογράφησης ή τοποθετείτε ένα σενάριο περιτυλίγματος που την προσθέτει για εσάς. Δεν είναι ισοδύναμες, γιατί η μία αλλάζει την πολιτική ενός μόνο προφίλ και η άλλη τη συμπεριφορά κάθε προγράμματος που καλεί αυτή τη διαδρομή. Το πρώτο ερώτημα είναι αν η πύλη προσφέρει ακόμη αδύναμη πρόταση, και το δεύτερο ποιος επιτρέπεται να την αποδεχτεί. Όλα τα υπόλοιπα προκύπτουν από αυτές τις δύο απαντήσεις.

Δύο επιδιορθώσεις με πολύ διαφορετικό εύρος

Μια αλλαγή σε επίπεδο προφίλ αγγίζει μία σύνδεση, έναν ιδιοκτήτη και μία ημερομηνία λήξης. Η αντικατάσταση του εγκατεστημένου δυαδικού αγγίζει κάθε διεπαφή στο μηχάνημα, συμπεριλαμβανομένης της εφαρμογής επιφάνειας εργασίας που χρησιμοποιεί συνάδελφος για ένα εντελώς διαφορετικό προφίλ πύλης. Το περιτύλιγμα κρύβει επίσης την αλλαγή από όποιον αποσφαλματώσει τον κεντρικό υπολογιστή έξι μήνες αργότερα.

Ο έλεγχος πακέτου είναι το πρώτο θύμα: ένα αρχείο στο /usr/sbin/vpnc που δεν ταιριάζει πλέον με το πακέτο του μετατρέπει μια συνήθη ενημέρωση ασφαλείας σε έρευνα. Στη συνέχεια οι αναβαθμίσεις είτε αντικαθιστούν σιωπηλά το περιτύλιγμα είτε αρνούνται να εφαρμοστούν, ανάλογα με το πώς ο διαχειριστής πακέτων χειρίζεται τροποποιημένα αρχεία. Κανένα από τα δύο αποτελέσματα δεν εμφανίζεται στο αρχείο καταγραφής σύνδεσης, γι' αυτό η προσέγγιση με περιτύλιγμα παραμένει ελκυστική μέχρι το πρώτο περιστατικό. Μία μόνο γραμμή σε ένα προφίλ είναι πολύ ευκολότερο να βρεθεί και να αφαιρεθεί από ένα δυαδικό που κανείς δεν θυμάται ότι αντικατέστησε.

Τι κάνει στην πραγματικότητα ο παρωχημένος διακόπτης

Το εγχειρίδιο του vpnc σημειώνει την επιλογή single-DES ως παρωχημένη υπέρ μιας ρύθμισης αδύναμης κρυπτογράφησης και τεκμηριώνει μια ξεχωριστή επιλογή που επιτρέπει καθόλου κρυπτογράφηση της κίνησης δεδομένων. Πρόκειται για διαφορετικές παραχωρήσεις με διαφορετικές συνέπειες. Καμία από αυτές δεν κάνει μια σύγχρονη πύλη να διαπραγματευτεί κάτι που δεν προσφέρει πλέον.

Διαβάστε το στάδιο αποτυχίας πριν επιλέξετε επιδιόρθωση. Μια απορριφθείσα πρόταση και ένας απορριφθείς κωδικός παράγουν παρόμοια μηνύματα διεπαφής αλλά εντελώς διαφορετικά στοιχεία.

Πού ανήκει μια περιορισμένη εξαίρεση

Αν ένας οργανισμός αποδέχεται εν γνώσει του έναν παλιό ομότιμο για περιορισμένο διάστημα, η εξαίρεση ανήκει στο προφίλ αυτού του ομότιμου, με ιδιοκτήτη, ημερομηνία αναθεώρησης και διαδρομή μετανάστευσης σε υποστηριζόμενο πρωτόκολλο. Το να μένει έξω από την καθολική διαδρομή είναι όλο το νόημα του να ονομάζεται περιορισμένη.

Ζητήστε από τον ιδιοκτήτη της πύλης να επιβεβαιώσει ποιους αλγορίθμους προτείνει ακόμη ο ομότιμος και τι τον αντικαθιστά. Μια σημαία πελάτη δεν μπορεί να επιδιορθώσει μια πρόταση που ο διακομιστής δεν στέλνει πλέον, και μια μετανάστευση διακομιστή που κανείς δεν προγραμμάτισε θα επιβιώσει της προσωρινής λύσης. Βάλτε την ημερομηνία αναθεώρησης στο ίδιο δελτίο με την εξαίρεση, ώστε η παραχώρηση να λήξει αντί να γίνει μόνιμη.

Ελέγξτε τη διαπραγμάτευση, όχι μόνο το πράσινο εικονίδιο

Συλλέξτε στοιχεία που προσδιορίζουν το στάδιο και όχι τη διάθεση του διαλόγου. Οι παρακάτω εντολές είναι μόνο για ανάγνωση, και οι δύο πρώτες δείχνουν ποια διαμόρφωση και έκδοση είναι στην πραγματικότητα σε ισχύ.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Η τρίτη εντολή αναφέρει αρχεία που δεν ταιριάζουν πλέον με το πακέτο, και έτσι ανακοινώνεται ένα ξεχασμένο περιτύλιγμα. Η τέταρτη δείχνει τις παραχωρήσεις που φέρει το προφίλ, ώστε μια εξαίρεση να μην μπορεί να εξαπλωθεί σιωπηλά σε δεύτερο προφίλ μέσω αντιγραμμένου αρχείου. Εκτελέστε και τις δύο πριν και μετά από μια αλλαγή, και κρατήστε την έξοδο με το προφίλ σύνδεσης και όχι σε παράθυρο συνομιλίας.

Κρατήστε την έξοδο αποσφαλμάτωσης έξω από τα δελτία μέχρι να τη διαβάσει κάποιος, γιατί το εγχειρίδιο προειδοποιεί ότι το υψηλότερο επίπεδο αποσφαλμάτωσης εκχέει δεδομένα ταυτοποίησης, συμπεριλαμβανομένων κωδικών πρόσβασης. Το κριτήριο αποδοχής είναι μια εξουσιοδοτημένη, υποστηριζόμενη συμφωνία μεταξύ πελάτη και πύλης, όχι μια καταχώριση μενού που επιτέλους γίνεται πράσινη. Αν ο ομότιμος προσφέρει μόνο σπασμένο αλγόριθμο, το έντιμο αποτέλεσμα είναι μια εξαίρεση με ημερομηνία λήξης ή ένα πρωτόκολλο αντικατάστασης, και αυτή η απόφαση ανήκει σε όποιον κατέχει την πύλη. Το να καταγράψετε την απόφαση είναι η διαφορά ανάμεσα σε μια διαχειριζόμενη εξαίρεση και μια τυχαία αλλαγή πολιτικής.