Apakah perbaikan keamanan OpenVPN itu benar-benar soal instalasi Anda?

Menambal klien agar memvalidasi sertifikat terlalu kabur untuk ditindaklanjuti. Itu bisa menggambarkan cacat perangkat lunak yang sudah diperbaiki, build lama dari satu penyedia, atau profil yang tidak pernah meminta pemeriksaan itu. Itu tiga perubahan berbeda dengan tiga pemilik berbeda. Bertindak berdasarkan kalimat itu tanpa tahu mana yang Anda hadapi adalah cara klien yang berfungsi diubah tanpa alasan.

Pisahkan ketiga klaim

Cacat perangkat lunak punya pengumuman, versi terdampak, dan rilis yang diperbaiki. Build penyedia punya saluran distribusinya sendiri dan irama pembaruannya sendiri. Kelalaian profil tidak punya keduanya, karena file yang dieksekusi baik-baik saja dan konfigurasi meminta lebih sedikit dari yang Anda duga. Sampai klaim itu menyebut salah satu dari tiga hal tersebut, tidak ada yang bisa diuji.

Tulis klaim itu dalam satu kalimat sebelum Anda mencarinya. Jika kalimat itu tidak bisa menyebut apa yang rusak, pencarian tidak punya sasaran dan setiap hasil tampak relevan.

Temukan file yang benar-benar berjalan

Identifikasi apa yang memulai koneksi sebelum Anda melihat versi apa pun. Layanan distribusi, plugin desktop, dan aplikasi vendor masing-masing bisa memakai file atau mesin yang berbeda. Versi yang dicetak oleh biner mana pun yang kebetulan ada di jalur pencarian shell bukanlah inventaris mesin. Baca unit atau proses yang benar-benar melakukan koneksi.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Kueri paket melaporkan apa yang dianggap terpasang dan tersedia oleh metadata lokal, dan cache itu bisa basi, jadi segarkan dulu. Ia juga tidak mengatakan apa pun tentang apakah layanan yang berjalan memuat biner yang dipasang lima menit lalu. Bandingkan catatan paket dengan proses yang benar-benar terhubung.

Bukti paket alih-alih kesan versi

Pemeliharaan keamanan distribusi sering membawa perbaikan ke belakang, sehingga versi upstream yang tampak lebih tua masih bisa memuat tambalan itu. Berlaku juga sebaliknya: paket dari repositori yang tidak dikenal tidak membawa klaim otomatis atas pemeliharaan terkini. Baca status dukungan rilisnya, bukan nomor versinya.

Perbedaan itu adalah perbedaan antara celah nyata dan angka yang hanya tampak tua. Catat repositori asal paket, karena string versi yang sama bisa datang lewat saluran yang sangat berbeda dengan dukungan yang sangat berbeda.

Konfigurasi adalah separuh lainnya

File yang dipelihara tetap butuh profil yang meminta pemeriksaan yang Anda yakini sudah ada. Jangkar kepercayaan, peran yang dimaksudkan pihak lain, dan nama server yang diharapkan adalah keputusan yang terkait tetapi terpisah. Pemeriksaan peran bukan pemeriksaan nama, dan keduanya tidak saling menggantikan. Jika peringatannya soal konfigurasi, perbaikannya milik siapa pun yang memiliki profil.

Jangan memasang tambalan sembarangan untuk mengimbangi profil yang belum diverifikasi, dan jangan menambahkan direktif untuk memperbaiki cacat implementasi yang nyata. Kedua kesalahan terasa seperti kemajuan, itulah sebabnya keduanya terus terjadi.

Putuskan dengan bukti dalam catatan

Keputusan mengikuti apa yang sudah Anda tetapkan. Paket terdampak yang terdokumentasi menuntut pembaruan yang didukung, platform yang tidak didukung butuh jalur migrasi, dan klien penyedia butuh panduan penyedia itu. Instruksi yang ambigu butuh pengumuman dan komponen terdampak sebelum salah satu dari itu berlaku.

Simpan klien aktif, versi lengkap, pengumuman, dan pemilik profil bersama-sama dalam catatan perubahan. Itu lebih kuat daripada rujukan tutorial, dan itulah yang benar-benar akan dibutuhkan orang berikutnya.