Kesalahan cipher lemah vpnc: kebijakan gateway atau perbaikan desktop?

Dua perbaikan tampak sama cepatnya ketika koneksi vpnc lama menolak muncul: meneruskan bendera cipher lemah lama, atau menyisipkan skrip pembungkus yang menambahkannya untuk Anda. Keduanya tidak setara, karena yang satu mengubah kebijakan satu profil dan yang lain mengubah perilaku setiap program yang memanggil jalur itu. Pertanyaan pertama adalah apakah gateway masih menawarkan proposal lemah, dan yang kedua adalah siapa yang boleh menerimanya. Semua hal lain mengikuti dari kedua jawaban itu.

Dua perbaikan dengan dampak yang sangat berbeda

Perubahan tingkat profil menyentuh satu koneksi, satu pemilik, dan satu tanggal kedaluwarsa. Mengganti biner yang terpasang menyentuh setiap frontend di mesin, termasuk applet desktop yang dipakai rekan kerja untuk profil gateway yang sama sekali berbeda. Pembungkus juga menyembunyikan perubahan dari siapa pun yang men-debug host enam bulan kemudian.

Verifikasi paket adalah korban pertama: berkas di /usr/sbin/vpnc yang tidak lagi cocok dengan paketnya mengubah pembaruan keamanan rutin menjadi penyelidikan. Peningkatan kemudian entah menimpa pembungkus secara diam-diam atau menolak diterapkan, tergantung bagaimana pengelola paket memperlakukan berkas yang dimodifikasi. Tidak ada hasil yang muncul di log koneksi, itulah sebabnya pendekatan pembungkus tetap menarik sampai insiden pertama. Satu baris di profil jauh lebih mudah ditemukan dan dihapus daripada biner yang tidak diingat siapa pun telah diganti.

Apa yang sebenarnya dilakukan sakelar usang

Manual vpnc menandai opsi DES tunggal sebagai usang demi pengaturan enkripsi lemah, dan mendokumentasikan opsi terpisah yang mengizinkan tidak ada enkripsi sama sekali untuk lalu lintas data. Itu konsesi berbeda dengan konsekuensi berbeda. Tidak satu pun membuat gateway modern menegosiasikan sesuatu yang tidak lagi ditawarkannya.

Baca tahap kegagalan sebelum memilih perbaikan. Proposal yang ditolak dan kata sandi yang ditolak menghasilkan pesan frontend serupa tetapi bukti yang sangat berbeda.

Di mana pengecualian terbatas ditempatkan

Jika organisasi dengan sadar menerima peer lama untuk periode terbatas, pengecualian itu berada di profil peer tersebut, dengan pemilik, tanggal peninjauan, dan jalur migrasi ke protokol yang didukung. Menjaganya di luar jalur global adalah seluruh alasan menyebutnya terbatas.

Minta pemilik gateway mengonfirmasi algoritme mana yang masih ditawarkan peer dan apa penggantinya. Bendera klien tidak dapat memperbaiki proposal yang tidak lagi dikirim server, dan migrasi server yang tidak dijadwalkan siapa pun akan bertahan lebih lama daripada solusi sementara. Letakkan tanggal peninjauan di tiket yang sama dengan pengecualian, agar konsesi berakhir alih-alih menjadi permanen.

Periksa negosiasi, bukan hanya ikon hijau

Kumpulkan bukti yang mengidentifikasi tahap alih-alih suasana dialog. Perintah di bawah ini hanya baca, dan dua yang pertama menunjukkan konfigurasi dan versi mana yang sebenarnya berlaku.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Perintah ketiga melaporkan berkas yang tidak lagi cocok dengan paket, dan begitulah pembungkus yang terlupakan mengumumkan dirinya. Perintah keempat menunjukkan konsesi yang dibawa profil, agar pengecualian tidak dapat menyebar diam-diam ke profil kedua melalui berkas yang disalin. Jalankan keduanya sebelum dan sesudah perubahan, dan simpan keluaran bersama profil koneksi alih-alih di jendela obrolan.

Jauhkan keluaran debug dari tiket sampai seseorang membacanya, karena manual memperingatkan bahwa tingkat debug tertinggi membuang data autentikasi termasuk kata sandi. Kriteria penerimaan adalah kesepakatan resmi yang didukung antara klien dan gateway, bukan item menu yang akhirnya berubah hijau. Jika peer hanya menawarkan algoritme rusak, hasil jujurnya adalah pengecualian dengan tanggal akhir atau protokol pengganti, dan keputusan itu milik siapa pun yang memiliki gateway. Mencatat keputusan adalah perbedaan antara pengecualian yang dikelola dan perubahan kebijakan yang tidak disengaja.