שגיאת הצפנה חלשה ב-vpnc: מדיניות שער או תיקון שולחני?

שני תיקונים נראים מהירים באותה מידה כאשר חיבור vpnc ישן מסרב לעלות: להעביר את דגל ההצפנה החלשה הישן, או להכניס סקריפט עטיפה שמוסיף אותו עבורכם. הם אינם שקולים, כי האחד משנה את המדיניות של פרופיל אחד והאחר את ההתנהגות של כל תוכנית שקוראת לנתיב הזה. השאלה הראשונה היא אם השער עדיין מציע הצעה חלשה, והשנייה היא מי רשאי לקבל אותה. כל השאר נובע משתי התשובות האלה.

שני תיקונים בעלי השפעה שונה מאוד

שינוי ברמת הפרופיל נוגע בחיבור אחד, בבעלים אחד ובתאריך תפוגה אחד. החלפת הקובץ הבינארי המותקן נוגעת בכל חזית במכונה, כולל יישומון שולחן העבודה שעמית משתמש בו לפרופיל שער שונה לגמרי. העטיפה גם מסתירה את השינוי מכל מי שינפה את המארח שישה חודשים אחר כך.

אימות החבילה הוא הקורבן הראשון: קובץ ב-/usr/sbin/vpnc שכבר אינו תואם לחבילה שלו הופך עדכון אבטחה שגרתי לחקירה. אז שדרוגים או דורסים את העטיפה בשקט או מסרבים להיות מיושמים, בהתאם לאופן שבו מנהל החבילות מתייחס לקבצים ששונו. אף אחת מהתוצאות אינה מופיעה ביומן החיבור, ולכן גישת העטיפה נשארת מושכת עד לתקרית הראשונה. שורה אחת בפרופיל קלה בהרבה למציאה ולהסרה מקובץ בינארי שאיש אינו זוכר שהחליף.

מה המתג המיושן באמת עושה

מדריך vpnc מסמן את אפשרות ה-DES הבודד כמיושנת לטובת הגדרת הצפנה חלשה, ומתעד אפשרות נפרדת שמתירה בלי שום הצפנה לתעבורת נתונים. אלה ויתורים שונים עם השלכות שונות. אף אחד מהם לא גורם לשער מודרני לנהל משא ומתן על משהו שהוא כבר לא מציע.

קראו את שלב הכשל לפני בחירת תיקון. הצעה שנדחתה וסיסמה שנדחתה מייצרות הודעות חזית דומות אך ראיות שונות לחלוטין.

היכן שייך חריג מוגבל

אם ארגון מקבל ביודעין עמית ישן לתקופה מוגבלת, החריג שייך לפרופיל של אותו עמית, עם בעלים, תאריך סקירה ונתיב הגירה לפרוטוקול נתמך. השארתו מחוץ לנתיב הגלובלי היא כל המשמעות של לקרוא לו מוגבל.

בקשו מבעל השער לאשר אילו אלגוריתמים העמית עדיין מציע ומה מחליף אותו. דגל לקוח לא יכול לתקן הצעה שהשרת כבר לא שולח, והגירת שרת שאיש לא תכנן תשרוד את העקיפה. שימו את תאריך הסקירה באותו כרטיס כמו החריג, כדי שהוויתור יפוג במקום להפוך לקבוע.

בדקו את המשא ומתן, לא רק את הסמל הירוק

אספו ראיות שמזהות את השלב ולא את מצב הרוח של הדיאלוג. הפקודות למטה הן לקריאה בלבד, ושתי הראשונות מראות איזו תצורה וגרסה באמת עומדות על הפרק.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

הפקודה השלישית מדווחת על קבצים שכבר אינם תואמים לחבילה, וכך עטיפה נשכחת מכריזה על עצמה. הרביעית מראה את הוויתורים שהפרופיל נושא, כדי שחריג לא יתפשט בשקט לפרופיל שני דרך קובץ שהועתק. הריצו את שתיהן לפני ואחרי שינוי, ושמרו את הפלט עם פרופיל החיבור ולא בחלון צ'אט.

הרחיקו פלט ניפוי באגים מכרטיסים עד שמישהו יקרא אותו, כי המדריך מזהיר שרמת הניפוי הגבוהה ביותר משפילה נתוני אימות כולל סיסמאות. קריטריון הקבלה הוא הסכם מורשה ונתמך בין לקוח לשער, לא פריט תפריט שסוף סוף הופך לירוק. אם העמית מציע רק אלגוריתם שבור, התוצאה הכנה היא חריג עם תאריך סיום או פרוטוקול חלופי, וההחלטה הזו שייכת למי שמחזיק בשער. תיעוד ההחלטה הוא ההבדל בין חריג מנוהל לשינוי מדיניות מקרי.