ძველ VPN პროფილებში მოძველებული დაშიფვრის სტრიქონები: წაიკითხეთ კოპირებამდე

ეს პროფილი 2016 წელს დაიწერა, და ის კვლავ იმპორტირდება და კვლავ უკავშირდება. სწორედ ამიტომ არავინ არ უყურებს მას. კლიენტი, რომელიც ოდესღაც ამ ინსტრუქციებს კითხულობდა, დიდი ხანია წავიდა, და მიმდინარე ნაშენი შეიძლება რამდენიმე მათგანს სხვაგვარად ინტერპრეტირებდეს.

ფაილის გადარჩენა არ ნიშნავს, რომ კონფიგურაცია აქტუალურია. ამ ორი იდეის გამიჯვნა სამუშაოს უმეტესი ნაწილია.

გაარკვიეთ რომელმა კლიენტმა დაწერა პროფილი

დაიწყეთ გამომცემლით და ვერსიით. ინსტრუქციის მნიშვნელობას განსაზღვრავს ის იმპლემენტაცია, რომელიც კითხულობს მას. სტრიქონი, რომელიც ოდესღაც ალგორითმს ირჩევდა, შეიძლება გახდეს სარეზერვო სია, გაფრთხილება ან მკაცრი შეცდომა. რომელი გამოშვება ინტერპრეტირებს მას, წყვეტს შედეგს.

OpenVPN ყველაზე ნათელი მაგალითია. 2.5 ვერსიამ შემოიტანა data-ciphers და შეცვალა, როგორ მონაწილეობს ძველი cipher ინსტრუქცია მოლაპარაკებაში. მხოლოდ cipher AES-128-CBC მქონე პროფილი ახლა გაცილებით ვიწრო შეთავაზებას აკეთებს, ვიდრე მისი ავტორი გულისხმობდა.

წაიკითხეთ გამოშვების შენიშვნები იმ პარამეტრისთვის, რომელიც ახლა აფრთხილებს ან ვერ სრულდება. ჟურნალში გაფრთხილება ფაქტია მიმდინარე ნაშენზე, და ის უფრო მძიმეა, ვიდრე ვინმეს მეხსიერება იმის შესახებ, თუ რატომ დაემატა სტრიქონი.

ნახეთ რაზე შეთანხმდნენ სინამდვილეში

წარმატებული იმპორტი ადასტურებს ანალიზს და არა პოლიტიკას. შეთანხმებული შედეგი კლიენტის ჟურნალში ჩნდება მას შემდეგ, რაც კავშირი ადის. ის შეიძლება განსხვავდებოდეს კონფიგურაციის ფაილის ორივე ბოლოდან.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

მიღებული იმპორტი, რომელიც ჩუმად აგდებს ინსტრუქციას, ტოვებს პროფილს, რომელიც ერთნაირად იკითხება და სხვანაირად იქცევა. სწორედ ეს სიცარიელე ხსნის, თუ რატომ აწარმოებს გამაგრებულად მონიშნული დოკუმენტი მოლაპარაკებას უფრო სუსტ რამეზე, ვიდრე მისი საკუთარი ტექსტი ამტკიცებს. ჟურნალი ერთადერთი ადგილია, სადაც განსხვავება ჩანს. წაიკითხეთ ის, სანამ ფაილს ენდობით.

განაახლეთ განლაგება და არა სტრიქონი

აიღეთ ოპერატორის მიერ შენახული პროფილი იმის ნაცვლად, რომ ალგორითმების სახელები შეაგროვოთ, სანამ იმპორტი წუწუნს შეწყვეტს. საცდელად სტრიქონების დამატება აბრუნებს შესწორების მიმართულებას. ის კლიენტს უცნობ სერვერს ურგებს, ნაცვლად იმისა, რომ დაადგინოს, რას უჭერს მხარს სერვერი.

შეიძლება სერვერსაც დასჭირდეს კოორდინირებული განახლება. მიმდინარე კლიენტს არ შეუძლია შექმნას მხარდაჭერა იმ შეთავაზებისთვის, რომელსაც მეორე მხარე არასოდეს გვთავაზობს. კლიენტის მხარეს არც ერთი ვარიანტი არ ცვლის განუხლებელ კარიბჭეს.

რასაც არ უნდა დაუთმოთ, ეს არის შემოწმება. სერტიფიკატების შემოწმების მოშორება, ჰოსტის სახელის შემოწმების გამორთვა ან განახლებების გამორთვა ძველი პროფილის სიცოცხლის შესანარჩუნებლად თავსებადობის პრობლემას ნდობის პრობლემად აქცევს. ეს ჩვეულებრივ ერთდროულად ერთი მცირე ცვლილებით ხდება.

დაადასტურეთ შედეგი და ჩაწერეთ გამონაკლისი

ცვლილების შემდეგ კიდევ ერთხელ შეამოწმეთ შეთანხმებული ნაკრები და გამოსცადეთ ის რესურსი, რისთვისაც გვირაბი არსებობს. პროფილს, რომელიც თქვენი განზრახვის მიხედვით შეთანხმდება და მაინც ვერ აღწევს სერვისამდე, აქვს მარშრუტიზაციის ან იდენტობის პრობლემა. მას კრიპტოგრაფიული პრობლემა არ აქვს.

შეინახეთ წინა ცნობილი კარგი კონფიგურაცია დაცულ ადგილას. შედარება შესაძლებელია მხოლოდ მანამ, სანამ ძველი ფაილი ჯერ კიდევ არსებობს.

დააფიქსირეთ ნებისმიერი თავსებადობის გამონაკლისი მფლობელთან და გადახედვის თარიღთან ერთად. დროებითი მოწყობა, რომელსაც მფლობელი არ ჰყავს, მუდმივ პოლიტიკად იქცევა. ფაილის შემდეგი მკითხველი ჩათვლის, რომ ის განზრახ აირჩიეს.