האם תיקון האבטחה הזה של OpenVPN נוגע בכלל להתקנה שלך?
הטלאה וקונפיגורציה הן טענות שונות. זהו את הקובץ הניתן להרצה, את החבילה שמאחוריו ואת הבדיקות שהפרופיל באמת מבצע.
העצה לתקן את הלקוח כדי שיאמת תעודות רופפת מדי כדי לפעול לפיה. היא עשויה לתאר פגם תוכנה שתוקן, גרסה ישנה של ספק אחד, או פרופיל שמעולם לא ביקש את הבדיקה. אלה שלושה שינויים שונים עם שלושה בעלים שונים. לפעול לפי המשפט הזה בלי לדעת עם איזה מהשלושה אתה מתמודד הוא הדרך שבה לקוח עובד משתנה בלי סיבה.
הפרידו בין שלוש הטענות
לפגם תוכנה יש הודעה, גרסאות מושפעות ומהדורה מתוקנת. לגרסת ספק יש ערוץ הפצה משלו וקצב עדכון משלו. להשמטה בפרופיל אין אף אחד מאלה, כי הקובץ הניתן להרצה תקין והתצורה מבקשת פחות ממה שהנחתם. עד שהטענה תמנה אחד מהשלושה, אין מה לבדוק.
נסחו את הטענה במשפט אחד לפני שאתם מחפשים אותה. אם המשפט לא יכול למנות מה שבור, לחיפוש אין מטרה וכל תוצאה נראית רלוונטית.
| Claim | Evidence that settles it | Who owns the change |
|---|---|---|
| Software defect | Advisory naming affected versions | Package or product maintainer |
| Provider build | Release notes for that client | The provider |
| Profile omission | The configuration actually loaded | Whoever owns the profile |
מצאו את הקובץ הניתן להרצה שבאמת רץ
זהו מה מתחיל את החיבור לפני שאתם מסתכלים על גרסה כלשהי. שירות הפצה, תוסף שולחן עבודה ויישום ספק יכולים כל אחד להשתמש בקובץ ניתן להרצה או במנוע שונים. גרסה שמודפסת על ידי איזה קובץ בינארי שמזדמן לנתיב החיפוש של המעטפת אינה מלאי של המכונה. קראו את היחידה או התהליך שבאמת ביצע את החיבור.
systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpnשאילתת החבילה מדווחת מה המטא-נתונים המקומיים חושבים שמותקן וזמין, והמטמון הזה עשוי להיות מיושן, לכן רעננו אותו קודם. היא גם לא אומרת דבר על אם השירות הרץ טען קובץ בינארי שהותקן לפני חמש דקות. השוו את רשומת החבילה לתהליך שבאמת מחובר.
ראיות מהחבילה במקום רושם מגרסה
תחזוקת האבטחה של הפצות מרבה להעביר תיקונים לאחור, ולכן גרסת upstream שנראית ישנה יותר עשויה עדיין להכיל את הטלאי. גם ההפך נכון: חבילה ממאגר לא מוכר אינה נושאת טענה אוטומטית לתחזוקה נוכחית. קראו את מצב התמיכה של המהדורה ולא את מספר הגרסה.
ההבחנה הזו היא ההבדל בין פער אמיתי לבין מספר שרק נראה ישן. רשמו את המאגר שממנו הגיעה החבילה, כי אותה מחרוזת גרסה יכולה להגיע בערוצים שונים מאוד עם תמיכה שונה מאוד.
התצורה היא החצי השני
קובץ ניתן להרצה מתוחזק עדיין זקוק לפרופיל שמבקש את הבדיקות שאתם חושבים שקיימות. עוגני אמון, התפקיד המיועד של הצד השני ושם השרת הצפוי הם החלטות קשורות אך נפרדות. בדיקת תפקיד אינה בדיקת שם, ואף אחת מהן אינה מחליפה את האחרת. אם האזהרה עוסקת בתצורה, התיקון שייך למי שמחזיק בפרופיל.
אל תתקינו טלאי שרירותי כדי לפצות על פרופיל לא מאומת, ואל תוסיפו הנחיה כדי לתקן פגם מימוש אמיתי. שתי הטעויות מרגישות כמו התקדמות, ולכן שתיהן ממשיכות לקרות.
החליטו עם ראיות ברשומה
ההחלטה נובעת ממה שקבעתם. חבילה מושפעת ומתועדת מחייבת את העדכון הנתמך שלה, פלטפורמה לא נתמכת זקוקה לנתיב הגירה, ולקוח ספק זקוק להנחיות של אותו ספק. הוראה מעורפלת זקוקה להודעה ולרכיב מושפע לפני שמישהו מאלה חל.
שמרו את הלקוח הפעיל, הגרסה המלאה, ההודעה ובעל הפרופיל יחד ברשומת השינוי. זה חזק יותר מאזכור של מדריך, וזה מה שהאדם הבא באמת יצטרך.