Eraro pri malforta ĉifrado en vpnc: enmigra politiko aŭ labortabla riparo?

Du riparoj aspektas same rapidaj kiam malnova vpnc-konekto rifuzas leviĝi: transdoni la malnovan flagon de malforta ĉifrado, aŭ enmeti envolvilan skripton, kiu aldonas ĝin por vi. Ili ne estas ekvivalentaj, ĉar unu ŝanĝas la politikon de unu profilo kaj la alia la konduton de ĉiu programo, kiu vokas tiun vojon. La unua demando estas ĉu la enirejo ankoraŭ proponas malfortan proponon, kaj la dua estas kiu rajtas akcepti ĝin. Ĉio cetera sekvas el tiuj du respondoj.

Du riparoj kun tre malsama efiko

Ŝanĝo je profila nivelo tuŝas unu konekton, unu posedanton kaj unu findaton. Anstataŭigo de la instalita binaro tuŝas ĉiun fronton en la maŝino, inkluzive la labortablan apletŝon, kiun kolego uzas por tute alia enmigra profilo. La envolvilo ankaŭ kaŝas la ŝanĝon de ĉiu, kiu erarserĉos la gastiganton ses monatojn poste.

Paketa kontrolo estas la unua viktimo: dosiero ĉe /usr/sbin/vpnc, kiu ne plu kongruas kun sia pakaĵo, transformas rutinan sekurecan ĝisdatigon en esploron. Ĝisdatigoj tiam aŭ silentigi anstataŭigas la envolvilon aŭ rifuzas aplikiĝi, laŭ tio, kiel la pakaĵadministrilo traktas ŝanĝitajn dosierojn. Neniu el la rezultoj aperas en la konekta protokolo, kial la envolvila aliro restas alloga ĝis la unua incidento. Unu linio en profilo multe pli facile troveblas kaj forigeblas ol binaro, pri kies anstataŭigo neniu memoras.

Kion la malnova ŝaltilo fakte faras

La vpnc-manlibro markas la opcion de unuopa DES kiel malnoviĝintan favore al agordo de malforta ĉifrado, kaj dokumentas apartan opcion, kiu permesas tute neniun ĉifradon de datena trafiko. Tiuj estas malsamaj cedoj kun malsamaj sekvoj. Neniu el ili igas modernan enirejon intertrakti ion, kion ĝi ne plu proponas.

Legu la fiaskan stadion antaŭ ol elekti riparon. Rifuzita propono kaj rifuzita pasvorto produktas similajn frontajn mesaĝojn sed tute malsamajn pruvojn.

Kie limigita escepto apartenas

Se organizo konscie akceptas malnovan samtavolan servilon por limigita periodo, la escepto apartenas al la profilo de tiu samtavolano, kun posedanto, revizia dato kaj migra vojo al subtenata protokolo. Teni ĝin ekster la tutmonda vojo estas la tuta senco nomi ĝin limigita.

Petu la enmigran posedanton konfirmi, kiujn algoritmojn la samtavolano ankoraŭ proponas kaj kio anstataŭas ĝin. Klienta flago ne povas ripari proponon, kiun la servilo ne plu sendas, kaj servila migrado, kiun neniu planis, postvivos la provizoran solvon. Metu la revizian daton en la saman bileton kiel la escepton, por ke la cedo eksvalidiĝu anstataŭ fariĝi konstanta.

Kontrolu la intertraktadon, ne nur la verdan ikonon

Kolektu pruvojn, kiuj identigas la stadion anstataŭ la humoron de la dialogo. La subaj komandoj estas nurlegeblaj, kaj la du unuaj montras, kiu agordo kaj versio efektive estas en ludo.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

La tria komando raportas dosierojn, kiuj ne plu kongruas kun la pakaĵo, kaj tiel forgesita envolvilo anoncas sin. La kvara montras la cedojn, kiujn la profilo portas, por ke escepto ne povu silente disvastiĝi al dua profilo per kopiita dosiero. Rulu ambaŭ antaŭ kaj post ŝanĝo, kaj konservu la eligon kun la konekta profilo anstataŭ en babileja fenestro.

Tenu erarserĉan eligon ekster biletoj ĝis iu legos ĝin, ĉar la manlibro avertas, ke la plej alta erarserĉa nivelo elŝutas aŭtentigajn datumojn inkluzive pasvortojn. La akcepta kriterio estas rajtigita, subtenata interkonsento inter kliento kaj enirejo, ne menuero, kiu fine verdiĝas. Se la samtavolano nur proponas rompitan algoritmon, la honesta rezulto estas escepto kun findato aŭ anstataŭa protokolo, kaj tiu decido apartenas al tiu, kiu posedas la enirejon. Registri la decidon estas la diferenco inter administrita escepto kaj hazarda politika ŝanĝo.