vpnc pogreška slabog šifriranja: politika pristupnika ili popravak na radnoj površini?

Dva popravka izgledaju jednako brza kada stara vpnc veza odbija ustati: prosljeđivanje stare zastavice slabog šifriranja ili ubacivanje omotačke skripte koja je dodaje umjesto vas. Nisu ekvivalentni jer jedan mijenja politiku jednog profila, a drugi ponašanje svakog programa koji poziva taj put. Prvo je pitanje nudi li pristupnik još slabu ponudu, a drugo tko ju smije prihvatiti. Sve ostalo slijedi iz tih dvaju odgovora.

Dva popravka vrlo različitog dosega

Promjena na razini profila dotiče jednu vezu, jednog vlasnika i jedan datum isteka. Zamjena instaliranog binarnog zapisa dotiče svako sučelje na stroju, uključujući desktop aplet koji kolega koristi za posve drugi profil pristupnika. Omotač također skriva promjenu od svakoga tko će za šest mjeseci otklanjati probleme na hostu.

Provjera paketa prva je žrtva: datoteka na /usr/sbin/vpnc koja više ne odgovara svom paketu pretvara rutinsko sigurnosno ažuriranje u istragu. Ažuriranja tada ili tiho prepisuju omotač ili odbijaju primjenu, ovisno o tome kako upravitelj paketa postupa s izmijenjenim datotekama. Nijedan se ishod ne pojavljuje u dnevniku veze, zato pristup s omotačem ostaje privlačan sve do prvog incidenta. Jedan redak u profilu daleko je lakše pronaći i ukloniti od binarnog zapisa za koji se nitko ne sjeća da ga je zamijenio.

Što zastarjeli prekidač zapravo radi

vpnc priručnik označava opciju pojedinačnog DES-a zastarjelom u korist postavke slabog šifriranja i dokumentira zasebnu opciju koja dopušta nikakvo šifriranje podatkovnog prometa. To su različiti ustupci s različitim posljedicama. Nijedan od njih ne tjera moderan pristupnik da pregovara o nečemu što više ne nudi.

Pročitajte fazu neuspjeha prije odabira popravka. Odbijena ponuda i odbijena zaporka daju slične poruke sučelja, ali posve različite dokaze.

Gdje pripada ograničena iznimka

Ako organizacija svjesno prihvaća stari peer na ograničeno vrijeme, iznimka pripada profilu tog peera, s vlasnikom, datumom pregleda i putem migracije na podržani protokol. Držati ga izvan globalnog puta i jest cijeli smisao naziva ograničen.

Neka vlasnik pristupnika potvrdi koje algoritme peer još predlaže i što ga zamjenjuje. Klijentska zastavica ne može popraviti ponudu koju poslužitelj više ne šalje, a migracija poslužitelja koju nitko nije zakazao nadživjet će privremeno rješenje. Stavite datum pregleda u isti tiket kao iznimku, da ustupak istekne umjesto da postane trajan.

Provjerite pregovaranje, ne samo zelenu ikonu

Prikupljajte dokaze koji prepoznaju fazu, a ne raspoloženje dijaloga. Naredbe u nastavku samo su za čitanje, a prve dvije pokazuju koja su konfiguracija i verzija doista u igri.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Treća naredba izvješćuje o datotekama koje više ne odgovaraju paketu, i tako se zaboravljeni omotač sam najavljuje. Četvrta pokazuje ustupke koje profil nosi, da se iznimka ne može tiho proširiti na drugi profil kopiranom datotekom. Pokrenite obje prije i poslije promjene i čuvajte izlaz uz profil veze, a ne u prozoru za chat.

Držite debug izlaz izvan tiketa dok ga netko ne pročita, jer priručnik upozorava da najviša razina debuga izbacuje autentifikacijske podatke, uključujući zaporke. Kriterij prihvaćanja je odobren, podržan sporazum između klijenta i pristupnika, a ne stavka izbornika koja konačno postane zelena. Ako peer nudi samo pokvaren algoritam, iskren ishod je iznimka s krajnjim datumom ili zamjenski protokol, a ta odluka pripada onome tko posjeduje pristupnik. Zapisivanje odluke razlika je između upravljane iznimke i slučajne promjene politike.