Elavult titkosítási sorok régi VPN-profilokban: olvassa el másolás előtt

Ezt a profilt 2016-ban írták, és még mindig importálható, és még mindig csatlakozik. Pontosan ezért senki sem néz bele. Az a kliens, amely egykor ezeket az utasításokat olvasta, rég eltűnt, és a jelenlegi build többet is másként értelmezhet.

Attól, hogy egy fájl megmarad, a konfiguráció még nem naprakész. Ennek a két gondolatnak a szétválasztása a munka nagy része.

Derítse ki, melyik kliens írta a profilt

Kezdje a kiadóval és a verzióval. Egy utasítás jelentését az azt olvasó implementáció határozza meg. Egy sor, amely egykor algoritmust választott, tartaléklistává, figyelmeztetéssé vagy kemény hibává válhat. Az dönti el az eredményt, hogy melyik kiadás értelmezi.

OpenVPN a legvilágosabb példa. A 2.5 verzió bevezette a data-ciphers elemet, és megváltoztatta, hogyan vesz részt a régebbi cipher utasítás az egyeztetésben. Egy csak cipher AES-128-CBC elemet tartalmazó profil ma sokkal szűkebb ajánlatot tesz, mint ahogy a szerzője szánta.

Olvassa el a kiadási megjegyzéseket ahhoz a beállításhoz, amely most figyelmeztet vagy meghiúsul. A naplóban megjelenő figyelmeztetés tény a jelenlegi buildről, és többet nyom a latban, mint bárkinek az emléke arról, miért került be a sor.

Nézze meg, mi lett valójában egyeztetve

A sikeres import a feldolgozást bizonyítja, nem a szabályzatot. Az egyeztetett eredmény a kapcsolat felépülése után jelenik meg a kliens naplójában. Eltérhet a konfigurációs fájl mindkét végétől.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Egy elfogadott import, amely csendben eldob egy utasítást, olyan profilt hagy maga után, amely az egyik módon olvasható, és a másikon viselkedik. Ez a rés magyarázza, hogyan egyeztet egy megerősítettként címkézett dokumentum gyengébbet annál, mint amit a saját szövege állít. A napló az egyetlen hely, ahol a különbség látszik. Olvassa el, mielőtt megbízik a fájlban.

Az elrendezést frissítse, ne a sort

Az üzemeltető által karbantartott profilt vigye, ahelyett hogy algoritmusneveket rakna össze, amíg az import fel nem hagy a panaszkodással. A sorok próbálgatással való hozzáadása megfordítja a javítás irányát. A klienst egy ismeretlen kiszolgálóhoz igazítja ahelyett, hogy megállapítaná, mit támogat a kiszolgáló.

A kiszolgálónak is szüksége lehet az összehangolt frissítésre. Egy jelenlegi kliens nem tud támogatást létrehozni olyan ajánlathoz, amelyet a másik fél soha nem kínál. Semmilyen kliensoldali lehetőség nem helyettesít egy nem frissített átjárót.

Amit nem szabad feladni, az az ellenőrzés. Tanúsítvány-ellenőrzések eltávolítása, a hosztnév-ellenőrzés kikapcsolása vagy a frissítések leállítása egy régi profil életben tartásához a kompatibilitási problémát bizalmi problémává alakítja. Ez általában egyszerre egy kis szerkesztéssel történik.

Erősítse meg az eredményt, és rögzítse a kivételt

A változtatás után vizsgálja meg újra az egyeztetett készletet, és tesztelje az erőforrást, amelyért az alagút létezik. Egy profil, amely azt egyezteti, amit szándékolt, és mégsem éri el a szolgáltatást, útválasztási vagy identitásproblémával küzd. Kriptográfiai problémája nincs.

Tartsa a korábbi, jól ismert konfigurációt védett helyen. Összehasonlítás csak addig lehetséges, amíg a régi fájl még létezik.

Dokumentáljon minden kompatibilitási kivételt felelőssel és felülvizsgálati dátummal. Egy felelős nélküli ideiglenes megoldás állandó szabályzattá válik. A következő ember, aki elolvassa a fájlt, azt feltételezi majd, hogy szándékosan választották.