vpnc nõrga šifri viga: lüüsi poliitika või töölaua parandus?

Kaks parandust tunduvad võrdselt kiired, kui vana vpnc-ühendus ei taha tõusta: vana nõrga šifri lipu edastamine või ümbriskripti lisamine, mis teeb seda teie eest. Need ei ole samaväärsed, sest üks muudab ühe profiili poliitikat ja teine iga selle tee kaudu käivitatava programmi käitumist. Esimene küsimus on, kas lüüs pakub üldse veel nõrka ettepanekut, ja teine, kellel on lubatud seda vastu võtta. Kõik muu tuleneb neist kahest vastusest.

Kaks väga erineva mõjuga parandust

Profiilitasandi muudatus puudutab ühte ühendust, ühte omanikku ja ühte aegumiskuupäeva. Paigaldatud binaarfaili asendamine puudutab iga kasutajaliidest masinas, sealhulgas töölauarakendust, mida kolleeg kasutab täiesti teise lüüsiprofiili jaoks. Ümberkiht peidab muudatuse ka igaühe eest, kes kuus kuud hiljem hosti silub.

Paketi kontroll on esimene ohver: fail asukohas /usr/sbin/vpnc, mis ei vasta enam oma paketile, muudab rutiinse turvauuenduse uurimiseks. Seejärel uuendused kas kirjutavad ümbrikihi vaikselt üle või keelduvad rakendamast, sõltuvalt sellest, kuidas paketihaldur muudetud faile käsitleb. Kumbki tulemus ei ilmu ühenduse logis, mistõttu ümbrikihi lähenemine jääb atraktiivseks kuni esimese juhtumini. Üks rida profiilis on palju lihtsam leida ja eemaldada kui binaarfail, mille asendamist keegi ei mäleta.

Mida vananenud lüliti tegelikult teeb

vpnc käsiraamat märgib üksiku DES-i valiku vananenuks nõrga krüpteerimise seade kasuks ja dokumenteerib eraldi valiku, mis lubab andmeliikluses üldse mitte krüpteerida. Need on erinevad järeleandmised erinevate tagajärgedega. Kumbki neist ei pane kaasaegset lüüsi läbirääkima midagi, mida see enam ei paku.

Lugege ebaõnnestumise etappi enne paranduse valimist. Tagasi lükatud ettepanek ja tagasi lükatud parool annavad sarnaseid kasutajaliidese teateid, kuid täiesti erinevaid tõendeid.

Kuhu kuulub piiratud erand

Kui organisatsioon teadlikult aktsepteerib vana partnerit piiratud ajaks, kuulub erand selle partneri profiili, koos omaniku, ülevaatamiskuupäeva ja toetatud protokollile ülemineku teega. Selle globaalsest teest väljas hoidmine ongi kogu mõte nimetada seda piiratuks.

Laske lüüsi omanikul kinnitada, milliseid algoritme partner veel pakub ja mis selle asendab. Kliendi lipp ei saa parandada ettepanekut, mida server enam ei saada, ja serveri üleminek, mida keegi ei planeerinud, elab ajutisest lahendusest kauem. Pange ülevaatamiskuupäev samasse piletisse kui erand, et järeleandmine lõpeks, mitte ei muutuks püsivaks.

Kontrollige läbirääkimisi, mitte ainult rohelist ikooni

Koguge tõendeid, mis tuvastavad etapi, mitte dialoogi meeleolu. Allolevad käsud on ainult lugemiseks ja kaks esimest näitavad, milline konfiguratsioon ja versioon tegelikult mängus on.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Kolmas käsk teatab failidest, mis ei vasta enam paketile, ja nii annab unustatud ümberkiht endast märku. Neljas näitab järeleandmisi, mida profiil kannab, et erand ei saaks kopeeritud faili kaudu vaikselt teise profiili levida. Käivitage mõlemad enne ja pärast muudatust ning hoidke väljund ühenduse profiili juures, mitte vestlusaknas.

Hoidke silumisväljund piletitest väljas, kuni keegi on selle läbi lugenud, sest käsiraamat hoiatab, et kõrgeim silumistase pritsib autentimisandmeid, sealhulgas paroole. Vastuvõtukriteerium on volitatud, toetatud kokkulepe kliendi ja lüüsi vahel, mitte menüüelement, mis lõpuks roheliseks muutub. Kui partner pakub ainult katkist algoritmi, on aus tulemus erand lõppkuupäevaga või asendusprotokoll, ja see otsus kuulub sellele, kes lüüsi omab. Otsuse kirjapanek on vahe hallatud erandi ja juhusliku poliitikamuudatuse vahel.