Malaktualaj ĉifraj linioj en malnovaj VPN-profiloj: legu antaŭ ol kopii

Ĉi tiu profilo estis skribita en 2016, kaj ĝi ankoraŭ importiĝas kaj ankoraŭ konektiĝas. Ĝuste tial neniu rigardas ĝin. La kliento, kiu iam legis ĉi tiujn direktivojn, delonge forestas, kaj la nuna eldono eble interpretas plurajn el ili alimaniere.

Tio, ke dosiero pluvivas, ne signifas, ke la agordo estas aktuala. Disigi tiujn du ideojn estas la plej granda parto de la laboro.

Trovu, kiu kliento skribis la profilon

Komencu per la eldonanto kaj la versio. La signifon de direktivo difinas la efektivigo, kiu legas ĝin. Linio, kiu iam elektis algoritmon, povas fariĝi rezerva listo, averto aŭ malmola eraro. Kiu eldono interpretas ĝin decidas la rezulton.

OpenVPN estas la plej klara ekzemplo. Versio 2.5 enkondukis data-ciphers kaj ŝanĝis, kiel la pli malnova direktivo cipher partoprenas en la intertraktado. Profilo, kiu portas nur cipher AES-128-CBC, nun faras multe pli mallarĝan proponon ol intencis ĝia aŭtoro.

Legu la eldonnotojn pri la agordo, kiu nun avertas aŭ malsukcesas. Avero en la protokolo estas fakto pri la nuna eldono, kaj ĝi superas iun ajn memoron pri tio, kial la linio estis aldonita.

Rigardu, kio fakte estis interkonsentita

Sukcesa importo pruvas analizadon, ne politikon. La interkonsentita rezulto aperas en la klienta protokolo post kiam la konekto leviĝas. Ĝi povas malsami de ambaŭ finoj de la agorda dosiero.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Akceptita importo, kiu silentas pri forĵeto de direktivo, lasas profilon, kiu legiĝas unumaniere kaj kondutas alimaniere. Ĝuste tiu breĉo klarigas, kiel dokumento markita kiel hardita interkonsentas ion pli malfortan ol ĝia propra teksto asertas. La protokolo estas la sola loko, kie la diferenco montriĝas. Legu ĝin antaŭ ol fidi la dosieron.

Ĝisdatigu la aranĝon, ne la linion

Prenu la profilon prizorgatan de la funkciiganto anstataŭ kunmeti nomojn de algoritmoj ĝis la importo ĉesos plendi. Aldoni liniojn per provo inversigas la direkton de la riparego. Ĝi adaptas la klienton al nekonata servilo anstataŭ konstati, kion la servilo subtenas.

Ankaŭ la servilo eble bezonas la kunordigitan ĝisdatigon. Nuna kliento ne povas krei subtenon por propono, kiun la alia flanko neniam ofertas. Neniu klientflanka opcio anstataŭas enirejon, kiu ne estis ĝisdatigita.

Tio, kion oni ne rajtas fordoni, estas la kontrolado. Forigi certifikajn kontrolojn, malŝalti la kontrolon de gastigantnomo aŭ malŝalti ĝisdatigojn por teni malnovan profilon viva ŝanĝas kongruecproblemon en fidoproblemon. Tio kutime okazas per unu malgranda redakto samtempe.

Konfirmu la rezulton kaj registru la escepton

Post la ŝanĝo, denove ekzamenu la interkonsentitan aron kaj testu la rimedon, por kiu la tunelo ekzistas. Profilo, kiu interkonsentas tion, kion vi intencis, kaj tamen ne atingas la servon, havas problemon pri enkursigado aŭ identeco. Ĝi ne havas kriptografian.

Konservu la antaŭan konatan bonan agordon en protektita loko. Komparo eblas nur dum la malnova dosiero ankoraŭ ekzistas.

Dokumentu ĉiun kongruec-escepton kun posedanto kaj revizidato. Provizora aranĝo, kiun neniu posedas, fariĝas daŭra politiko. La sekva persono, kiu legos la dosieron, supozos, ke ĝi estis elektita intence.