vpnc gyenge titkosítási hiba: átjáró-szabályzat vagy asztali javítás?

Két javítás egyformán gyorsnak tűnik, amikor egy régi vpnc-kapcsolat nem hajlandó feljönni: átadni a régi gyenge titkosítási kapcsolót, vagy bevetni egy burkolószkriptet, amely helyette hozzáadja. Nem egyenértékűek, mert az egyik egyetlen profil szabályzatát változtatja meg, a másik pedig minden program viselkedését, amely ezt az útvonalat hívja. Az első kérdés, hogy az átjáró kínál-e még gyenge javaslatot, a második pedig az, hogy ki fogadhatja el. Minden más ebből a két válaszból következik.

Két javítás nagyon eltérő hatókörrel

A profilszintű változtatás egy kapcsolatot, egy tulajdonost és egy lejárati dátumot érint. A telepített bináris cseréje a gépen minden frontendet érint, beleértve azt az asztali kisalkalmazást, amelyet egy kolléga teljesen más átjáróprofilhoz használ. A burkoló a változtatást mindenki elől elrejti, aki hat hónap múlva a gazdagépet hibakeresi.

A csomagellenőrzés az első áldozat: egy /usr/sbin/vpnc alatti fájl, amely már nem illik a csomagjához, rutin biztonsági frissítésből vizsgálatot csinál. A frissítések ezután vagy csendben felülírják a burkolót, vagy megtagadják az alkalmazást, attól függően, hogyan kezeli a csomagkezelő a módosított fájlokat. Egyik kimenet sem jelenik meg a kapcsolati naplóban, ezért a burkolós megközelítés vonzó marad az első incidensig. Egyetlen sor egy profilban sokkal könnyebben megtalálható és eltávolítható, mint egy bináris, amelynek cseréjére senki sem emlékszik.

Mit tesz valójában az elavult kapcsoló

A vpnc kézikönyv az egyszeres DES opciót elavultnak jelöli a gyenge titkosítási beállítás javára, és dokumentál egy külön opciót, amely az adatforgalom számára egyáltalán nem engedélyez titkosítást. Ezek különböző engedmények különböző következményekkel. Egyik sem vesz rá egy modern átjárót arra, hogy olyasmit tárgyaljon, amit már nem kínál.

Olvassa el a hiba szakaszát, mielőtt javítást választ. Az elutasított javaslat és az elutasított jelszó hasonló frontend-üzeneteket, de teljesen különböző bizonyítékokat ad.

Hová tartozik a korlátozott kivétel

Ha egy szervezet tudatosan elfogad egy régi partnert korlátozott ideig, a kivétel annak a partnernek a profiljába tartozik, tulajdonossal, felülvizsgálati dátummal és a támogatott protokollra vezető migrációs útvonallal. A globális útvonalon kívül tartása éppen az értelme annak, hogy korlátozottnak nevezzük.

Kérje meg az átjáró tulajdonosát, hogy erősítse meg, mely algoritmusokat kínál még a partner, és mi váltja fel. Egy klienskapcsoló nem tud megjavítani egy olyan javaslatot, amelyet a kiszolgáló már nem küld, és egy senki által be nem ütemezett kiszolgálómigráció túl fogja élni a kerülő megoldást. Tegye a felülvizsgálati dátumot ugyanabba a jegybe, mint a kivételt, hogy az engedmény lejárjon, ne pedig állandóvá váljon.

Ellenőrizze az egyeztetést, ne csak a zöld ikont

Gyűjtsön olyan bizonyítékokat, amelyek a szakaszt azonosítják, nem a párbeszéd hangulatát. Az alábbi parancsok csak olvasásra valók, és az első kettő megmutatja, melyik konfiguráció és verzió van valójában játékban.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

A harmadik parancs olyan fájlokat jelent, amelyek már nem illenek a csomaghoz, és így jelenti be magát egy elfelejtett burkoló. A negyedik megmutatja a profil által hordozott engedményeket, hogy egy kivétel ne tudjon csendben átterjedni egy második profilra egy másolt fájlon keresztül. Futtassa mindkettőt változtatás előtt és után, és a kimenetet a kapcsolati profil mellett tartsa, ne egy csevegőablakban.

Tartsa a hibakeresési kimenetet a jegyeken kívül, amíg valaki el nem olvasta, mert a kézikönyv figyelmeztet, hogy a legmagasabb hibakeresési szint hitelesítési adatokat, köztük jelszavakat is kiír. Az elfogadási kritérium az ügyfél és az átjáró közötti engedélyezett, támogatott megállapodás, nem egy menüpont, amely végre zöldre vált. Ha a partner csak hibás algoritmust kínál, az őszinte eredmény egy végdátummal ellátott kivétel vagy egy helyettesítő protokoll, és ez a döntés az átjáró tulajdonosáé. A döntés rögzítése a különbség a kezelt kivétel és a véletlen szabályzatváltozás között.