vpnc:n heikon salauksen virhe: yhdyskäytävän käytäntö vai työpöytäkorjaus?

Kaksi korjausta näyttävät yhtä nopeilta, kun vanha vpnc-yhteys ei suostu nousemaan: vanhan heikon salauksen lipun välittäminen tai kääreskriptin lisääminen, joka tekee sen puolestasi. Ne eivät ole samanarvoisia, koska toinen muuttaa yhden profiilin käytäntöä ja toinen jokaisen tuota polkua kutsuvan ohjelman toimintaa. Ensimmäinen kysymys on, tarjoaako yhdyskäytävä vielä heikkoa ehdotusta, ja toinen, kuka saa hyväksyä sen. Kaikki muu seuraa näistä kahdesta vastauksesta.

Kaksi hyvin erilaisen vaikutusalan korjausta

Profiilitason muutos koskee yhtä yhteyttä, yhtä omistajaa ja yhtä vanhenemispäivää. Asennetun binäärin korvaaminen koskee jokaista koneen frontendia, mukaan lukien työpöytäsovelmaa, jota kollega käyttää täysin toiseen yhdyskäytäväprofiiliin. Kääre myös piilottaa muutoksen kaikilta, jotka debuggaavat isäntää puolen vuoden päästä.

Paketin tarkistus on ensimmäinen uhri: tiedosto osoitteessa /usr/sbin/vpnc, joka ei enää vastaa pakettiaan, muuttaa rutiininomaisen tietoturvapäivityksen tutkinnaksi. Päivitykset joko kirjoittavat kääreen hiljaisesti yli tai kieltäytyvät asentumasta riippuen siitä, miten paketinhallinta kohtelee muutettuja tiedostoja. Kumpikaan lopputulos ei näy yhteyslokissa, minkä vuoksi kääre lähestymistapana pysyy houkuttelevana ensimmäiseen tapaukseen asti. Yksi rivi profiilissa on paljon helpompi löytää ja poistaa kuin binääri, jonka korvaamista kukaan ei muista.

Mitä vanhentunut kytkin oikeastaan tekee

vpnc-käsikirja merkitsee yhden DESin vaihtoehdon vanhentuneeksi heikon salauksen asetuksen hyväksi ja dokumentoi erillisen vaihtoehdon, joka sallii dataliikenteen salaamatta jättämisen kokonaan. Ne ovat erilaisia myönnytyksiä, joilla on erilaiset seuraukset. Kumpikaan niistä ei saa nykyaikaista yhdyskäytävää neuvottelemaan jotain, mitä se ei enää tarjoa.

Lue epäonnistumisen vaihe ennen korjauksen valintaa. Hylätty ehdotus ja hylätty salasana tuottavat samankaltaisia frontend-viestejä mutta täysin erilaisia todisteita.

Minne rajattu poikkeus kuuluu

Jos organisaatio hyväksyy tietoisesti vanhan vertaiskoneen rajoitetuksi ajaksi, poikkeus kuuluu sen vertaiskoneen profiiliin, omistajan, tarkistuspäivän ja tuettuun protokollaan johtavan siirtopolun kanssa. Sen pitäminen globaalin polun ulkopuolella on koko pointti kutsua sitä rajatuksi.

Pyydä yhdyskäytävän omistajaa vahvistamaan, mitä algoritmeja vertaiskone vielä tarjoaa ja mikä korvaa sen. Asiakaslippu ei voi korjata ehdotusta, jota palvelin ei enää lähetä, ja palvelinmigraatio, jota kukaan ei aikatauluttanut, elää pidempään kuin kiertotie. Laita tarkistuspäivä samaan tikettiin kuin poikkeus, jotta myönnytys vanhenee eikä muutu pysyväksi.

Tarkista neuvottelu, älä vain vihreää kuvaketta

Kerää todisteita, jotka tunnistavat vaiheen eikä dialogin mielialaa. Alla olevat komennot ovat vain lukemista varten, ja kaksi ensimmäistä näyttävät, mikä kokoonpano ja versio ovat todella pelissä.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Kolmas komento raportoi tiedostoista, jotka eivät enää vastaa pakettia, ja näin unohdettu kääre ilmoittaa itsestään. Neljäs näyttää myönnytykset, joita profiili kantaa, jotta poikkeus ei voi hiljaa levitä toiseen profiiliin kopioidun tiedoston kautta. Aja molemmat ennen muutosta ja sen jälkeen, ja pidä tuloste yhteysprofiilin yhteydessä, älä chat-ikkunassa.

Pidä debug-tuloste tikettien ulkopuolella, kunnes joku on lukenut sen, koska käsikirja varoittaa, että korkein debug-taso tulostaa todennustietoja, salasanat mukaan lukien. Hyväksymiskriteeri on valtuutettu, tuettu sopimus asiakkaan ja yhdyskäytävän välillä, ei valikkokohta, joka lopulta muuttuu vihreäksi. Jos vertaiskone tarjoaa vain rikkinäistä algoritmia, rehellinen tulos on poikkeus, jolla on päättymispäivä, tai korvaava protokolla, ja se päätös kuuluu yhdyskäytävän omistajalle. Päätöksen kirjaaminen on ero hallitun poikkeuksen ja vahingossa tapahtuneen käytäntömuutoksen välillä.