Erro de cifrado débil de vpnc: política da pasarela ou reparación do escritorio?

Dúas reparacións parecen igual de rápidas cando unha conexión vpnc antiga se nega a levantarse: pasar o antigo indicador de cifrado débil ou inserir un script envoltorio que o engade por vostede. Non son equivalentes, porque unha cambia a política dun só perfil e a outra o comportamento de todos os programas que chaman esa ruta. A primeira pregunta é se a pasarela aínda ofrece unha proposta débil, e a segunda é quen ten permiso para aceptala. Todo o demais derívase desas dúas respostas.

Dúas reparacións cun alcance moi distinto

Un cambio a nivel de perfil toca unha conexión, un propietario e unha data de caducidade. Substituír o binario instalado toca cada frontend da máquina, incluído o applet de escritorio que un compañeiro usa para un perfil de pasarela completamente distinto. O envoltorio tamén agocha o cambio a quen depure o host seis meses despois.

A verificación do paquete é a primeira vítima: un ficheiro en /usr/sbin/vpnc que xa non coincide co seu paquete converte unha actualización de seguridade rutineira nunha investigación. Entón as actualizacións ou sobrescriben o envoltorio en silencio ou néganse a aplicarse, segundo como trate o xestor de paquetes os ficheiros modificados. Ningún dos dous resultados aparece no rexistro de conexión, por iso o enfoque do envoltorio segue sendo atractivo ata o primeiro incidente. Unha soa liña nun perfil é moito máis fácil de atopar e quitar que un binario que ninguén lembra substituír.

Que fai realmente o interruptor obsoleto

O manual de vpnc marca a opción de DES único como obsoleta a favor dun axuste de cifrado débil, e documenta unha opción separada que permite non cifrar en absoluto o tráfico de datos. Son concesións distintas con consecuencias distintas. Ningunha das dúas fai que unha pasarela moderna negocie algo que xa non ofrece.

Lea a fase de fallo antes de escoller unha reparación. Unha proposta rexeitada e un contrasinal rexeitado producen mensaxes de frontend similares pero probas completamente distintas.

Onde corresponde unha excepción limitada

Se unha organización acepta conscientemente un par antigo durante un período limitado, a excepción corresponde ao perfil dese par, cun propietario, unha data de revisión e un camiño de migración a un protocolo compatible. Mantela fóra da ruta global é todo o sentido de chamala limitada.

Faga que o propietario da pasarela confirme que algoritmos segue propoñendo o par e que o substitúe. Un indicador de cliente non pode reparar unha proposta que o servidor xa non envía, e unha migración de servidor que ninguén programou sobrevivirá ao apaño. Poña a data de revisión no mesmo tícket que a excepción, para que a concesión caduque en lugar de facerse permanente.

Comprobe a negociación, non só a icona verde

Recolla probas que identifiquen a fase en lugar do ánimo do diálogo. Os comandos seguintes son de só lectura, e os dous primeiros mostran que configuración e versión están realmente en xogo.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

O terceiro comando informa de ficheiros que xa non coinciden co paquete, e así é como se delata un envoltorio esquecido. O cuarto mostra as concesións que leva o perfil, para que unha excepción non poida estenderse en silencio a un segundo perfil mediante un ficheiro copiado. Execute ambos antes e despois dun cambio, e garde a saída co perfil de conexión en lugar de nunha xanela de chat.

Manteña a saída de depuración fóra dos tíckets ata que alguén a lese, porque o manual advirte que o nivel máis alto de depuración verte datos de autenticación, contrasinais incluídos. O criterio de aceptación é un acordo autorizado e compatible entre cliente e pasarela, non unha entrada de menú que por fin se pon verde. Se o par só ofrece un algoritmo roto, o resultado honesto é unha excepción con data de fin ou un protocolo substituto, e esa decisión pertence a quen posúe a pasarela. Rexistrar a decisión é a diferenza entre unha excepción xestionada e un cambio de política accidental.