Onko tuo OpenVPN:n tietoturvakorjaus ylipäätään sinun asennuksestasi?

Neuvo paikata asiakasohjelma, jotta se validoi varmenteet, on liian epämääräinen toimintaan. Se voi kuvata korjatun ohjelmistovian, yhden palveluntarjoajan vanhan buildin tai profiilin, joka ei koskaan pyytänyt tarkistusta. Ne ovat kolme eri muutosta, joilla on kolme eri omistajaa. Tuon lauseen mukaan toimiminen tietämättä, mihin kolmesta törmäät, on tapa, jolla toimiva asiakasohjelma muutetaan ilman syytä.

Erota kolme väitettä

Ohjelmistovialla on tiedote, vaikuttavat versiot ja korjattu julkaisu. Palveluntarjoajan buildilla on oma jakelukanavansa ja oma päivitystahtinsa. Profiilin puutteella ei ole kumpaakaan, koska suoritettava tiedosto on kunnossa ja määritys pyytää vähemmän kuin oletit. Kunnes väite nimeää yhden noista kolmesta, testattavaa ei ole.

Kirjoita väite yhdellä lauseella ennen kuin etsit sitä. Jos lause ei pysty nimeämään, mikä on rikki, haulla ei ole kohdetta ja jokainen tulos näyttää osuvalta.

Löydä suoritettava tiedosto, joka todella käynnistyy

Selvitä, mikä käynnistää yhteyden, ennen kuin katsot mitään versiota. Jakelupalvelu, työpöytälaajennus ja toimittajasovellus voivat kukin käyttää eri suoritettavaa tiedostoa tai moottoria. Versio, jonka tulostaa mikä tahansa binääri, joka sattuu olemaan kuoren hakupolulla, ei ole koneen inventaario. Lue se yksikkö tai prosessi, joka todella teki yhteyden.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Pakettikysely kertoo, mitä paikalliset metatiedot uskovat asennetuksi ja saatavilla olevaksi, ja välimuisti voi olla vanhentunut, joten päivitä se ensin. Se ei myöskään kerro, latasiko käynnissä oleva palvelu viisi minuuttia sitten asennetun binäärin. Vertaa pakettitietuetta prosessiin, joka on todella yhteydessä.

Paketin todisteet versionvaikutelmien sijaan

Jakelujen tietoturvaylläpito siirtää korjauksia usein taaksepäin, joten vanhemmalta näyttävä upstream-versio voi yhä sisältää paikkauksen. Myös päinvastoin: tuntemattomasta arkistosta tulevalla paketilla ei ole automaattista oikeutta nykyiseen ylläpitoon. Lue julkaisun tukitila, älä versionumeroa.

Ero on ero todellisen aukon ja luvun välillä, joka vain näyttää vanhalta. Kirjaa arkisto, josta paketti tuli, koska sama versiomerkkijono voi saapua hyvin erilaisia kanavia pitkin hyvin erilaisella tuella.

Määritys on toinen puoli

Ylläpidetty suoritettava tiedosto tarvitsee silti profiilin, joka pyytää ne tarkistukset, joiden uskot olevan käytössä. Luottamusankkurit, vastapuolen aiottu rooli ja odotettu palvelinnimi ovat toisiinsa liittyviä mutta erillisiä päätöksiä. Roolitarkistus ei ole nimitarkistus, eikä kumpikaan korvaa toista. Jos varoitus koskee määritystä, korjaus kuuluu profiilin omistajalle.

Älä asenna mielivaltaista paikkausta korvataksesi vahvistamattoman profiilin äläkä lisää direktiiviä todellisen toteutusvian korjaamiseksi. Molemmat virheet tuntuvat edistykseltä, siksi molemmat jatkuvat.

Päätä tietueen todisteilla

Päätös seuraa siitä, mitä olet todennut. Dokumentoitu vaikuttava paketti vaatii tuetun päivityksensä, tukematon alusta tarvitsee siirtymäpolun ja toimittajan asiakasohjelma tarvitsee kyseisen toimittajan ohjeistuksen. Epäselvä ohje tarvitsee tiedotteen ja vaikuttavan komponentin ennen kuin mikään noista pätee.

Pidä aktiivinen asiakasohjelma, täysi versio, tiedote ja profiilin omistaja yhdessä muutosrekisterissä. Se on vahvempi kuin viittaus oppaaseen, ja sitä seuraava henkilö todella tarvitsee.