Aegunud krüpteerimisread vanades VPN-profiilides: loe enne kopeerimist

Aastal 2016 kirjutati see profiil ning seda saab endiselt importida ja see loob endiselt ühenduse. Just seetõttu ei vaata keegi selle poole. Klient, mis neid direktiive kunagi luges, on ammu kadunud, ja praegune versioon võib mitut neist teisiti tõlgendada.

See, et fail alles jääb, ei tähenda, et konfiguratsioon on ajakohane. Nende kahe idee eraldamine on suurem osa tööst.

Uuri välja, milline klient profiili kirjutas

Alusta väljaandjast ja versioonist. Direktiivi tähenduse määrab rakendus, mis seda loeb. Rida, mis kunagi algoritmi valis, võib muutuda varuloendiks, hoiatuseks või kõvaks veaks. See, milline väljalase seda tõlgendab, otsustab tulemuse.

OpenVPN on kõige selgem näide. Versioon 2.5 tõi sisse data-ciphers ja muutis seda, kuidas vanem direktiiv cipher läbirääkimistes osaleb. Profiil, mis kannab ainult cipher AES-128-CBC, teeb nüüd palju kitsama pakkumise, kui selle autor kavatses.

Loe väljalaskemärkmeid sätte kohta, mis nüüd hoiatab või ebaõnnestub. Hoiatus logis on fakt praeguse versiooni kohta ja kaalub üles kõigi mälestuse sellest, miks rida lisati.

Vaata, millele tegelikult läbi räägiti

Edukas import tõestab parsimist, mitte poliitikat. Läbiräägitud tulemus ilmub kliendi logis pärast ühenduse püstipanekut. See võib erineda konfiguratsioonifaili mõlemast otsast.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Vastuvõetud import, mis heidab direktiivi vaikselt kõrvale, jätab profiili, mida loetakse ühtemoodi ja mis käitub teisiti. Just see lünk selgitab, kuidas kõvendatuks märgitud dokument räägib läbi nõrgema asja, kui selle oma tekst väidab. Logi on ainus koht, kus erinevus välja tuleb. Loe seda enne, kui faili usaldad.

Uuenda korraldust, mitte rida

Võta operaatori hooldatav profiil, selle asemel et algoritminimesid kokku panna, kuni import enam ei kaeble. Ridade lisamine katse kaudu pöörab paranduse suuna vastupidiseks. See kohandab kliendi tundmatu serveriga, selle asemel et teha kindlaks, mida server toetab.

Ka server võib vajada kooskõlastatud uuendust. Praegune klient ei saa luua tuge pakkumisele, mida teine pool kunagi ei paku. Ükski kliendipoolne valik ei asenda lüüsi, mida pole uuendatud.

Mida ei tohi ohverdada, on kontrollimine. Sertifikaadikontrollide eemaldamine, hostinime kontrolli väljalülitamine või uuenduste peatamine vana profiili elushoidmiseks muudab ühilduvusprobleemi usaldusprobleemiks. Tavaliselt juhtub see ühe väikese muudatusega korraga.

Kinnita tulemus ja dokumenteeri erand

Pärast muudatust vaata läbiräägitud komplekt uuesti üle ja testi ressurssi, mille jaoks tunnel olemas on. Profiil, mis räägib läbi selle, mida kavatsesid, ja ei jõua ikkagi teenuseni, on marsruutimise või identiteedi probleemiga. Krüptograafilist probleemi sellel ei ole.

Hoia eelmist teadaolevalt head konfiguratsiooni kaitstud kohas. Võrdlemine on võimalik ainult seni, kuni vana fail veel alles on.

Dokumenteeri iga ühilduvuserand omaniku ja ülevaatamiskuupäevaga. Ajutine lahendus, millel pole omanikku, muutub püsivaks poliitikaks. Järgmine inimene, kes faili loeb, eeldab, et see valiti teadlikult.