ეხება ეს OpenVPN-ის უსაფრთხოების შესწორება საერთოდ თქვენს ინსტალაციას?
პაჩის დადება და კონფიგურაცია სხვადასხვა მტკიცებაა. დაადგინეთ შესრულებადი ფაილი, მის უკან არსებული პაკეტი და ის შემოწმებები, რომლებსაც პროფილი ნამდვილად ასრულებს.
კლიენტის გაპაჩვის რჩევა, რათა მან სერტიფიკატები გადაამოწმოს, ზედმეტად ბუნდოვანია მოქმედებისთვის. ის შეიძლება აღწერდეს გამოსწორებულ პროგრამულ ხარვეზს, ერთი მომწოდებლის ძველ ბილდს ან პროფილს, რომელსაც ეს შემოწმება არასოდეს მოუთხოვია. ეს სამი განსხვავებული ცვლილებაა სამი განსხვავებული მფლობელით. ამ წინადადების მიხედვით მოქმედება იმის ცოდნის გარეშე, რომელთან გაქვთ საქმე, სწორედ ის გზაა, რომლითაც მომუშავე კლიენტი უმიზეზოდ იცვლება.
გამოყავით სამი მტკიცება
პროგრამულ ხარვეზს აქვს შეტყობინება, დაზარალებული ვერსიები და გამოსწორებული გამოშვება. მომწოდებლის ბილდს აქვს საკუთარი გავრცელების არხი და საკუთარი განახლების რიტმი. პროფილის გამოტოვებას არც ერთი აქვს, რადგან შესრულებადი ფაილი რიგზეა და კონფიგურაცია ითხოვს ნაკლებს, ვიდრე თქვენ ვარაუდობდით. სანამ მტკიცება ამ სამიდან ერთს არ დაასახელებს, შესამოწმებელი არაფერია.
ძებნამდე დაწერეთ მტკიცება ერთ წინადადებაში. თუ წინადადება ვერ ასახელებს, რა არის გატეხილი, ძებნას სამიზნე არ აქვს და ყველა შედეგი შესაბამისად გამოიყურება.
| Claim | Evidence that settles it | Who owns the change |
|---|---|---|
| Software defect | Advisory naming affected versions | Package or product maintainer |
| Provider build | Release notes for that client | The provider |
| Profile omission | The configuration actually loaded | Whoever owns the profile |
იპოვეთ შესრულებადი ფაილი, რომელიც ნამდვილად მუშაობს
ვიდრე რომელიმე ვერსიას შეხედავთ, დაადგინეთ რა იწყებს კავშირს. გავრცელების სერვისი, სამუშაო მაგიდის დანამატი და მომწოდებლის აპლიკაცია შეიძლება თითოეულმა სხვადასხვა შესრულებადი ფაილი ან ძრავი გამოიყენოს. ვერსია, რომელსაც ბეჭდავს ნებისმიერი ბინარული, რომელიც შემთხვევით shell-ის საძიებო გზაზე აღმოჩნდა, მანქანის ინვენტარი არ არის. წაიკითხეთ ის ერთეული ან პროცესი, რომელმაც კავშირი ნამდვილად შეასრულა.
systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpnპაკეტის მოთხოვნა იუწყება, რას მიიჩნევს ლოკალური მეტამონაცემები დაყენებულად და ხელმისაწვდომად, და ეს ქეში შეიძლება მოძველებული იყოს, ამიტომ პირველად განაახლეთ ის. ის ასევე არაფერს ამბობს იმაზე, ჩატვირთა თუ არა მომუშავე სერვისმა ხუთი წუთის წინ დაყენებული ბინარული. შეადარეთ პაკეტის ჩანაწერი რეალურად დაკავშირებულ პროცესს.
პაკეტის მტკიცებულებები ვერსიის შთაბეჭდილებების ნაცვლად
დისტრიბუტივების უსაფრთხოების მოვლა ხშირად უკან გადააქვს შესწორებები, ამიტომ უფრო ძველად მოჩვენებულ upstream ვერსიას შეიძლება ჯერ კიდევ ჰქონდეს პაჩი. მართალია საპირისპიროც: უცნობი რეპოზიტორიიდან პაკეტს არ აქვს ავტომატური პრეტენზია მიმდინარე მოვლაზე. წაიკითხეთ გამოშვების მხარდაჭერის სტატუსი და არა ვერსიის ნომერი.
ეს განსხვავებაა ნამდვილ ხარვეზსა და უბრალოდ ძველად მოჩვენებულ რიცხვს შორის. ჩაწერეთ რეპოზიტორია, საიდანაც პაკეტი მოვიდა, რადგან იგივე ვერსიის სტრიქონი შეიძლება მოვიდეს ძალიან სხვადასხვა არხით ძალიან სხვადასხვა მხარდაჭერით.
კონფიგურაცია მეორე ნახევარია
მოვლილი შესრულებადი ფაილს მაინც სჭირდება პროფილი, რომელიც ითხოვს იმ შემოწმებებს, რომლებიც, თქვენი აზრით, ადგილზეა. ნდობის წამყვანები, მხარის განზრახული როლი და მოსალოდნელი სერვერის სახელი დაკავშირებული, მაგრამ ცალკეული გადაწყვეტილებებია. როლის შემოწმება არ არის სახელის შემოწმება და არც ერთი არ ცვლის მეორეს. თუ გაფრთხილება კონფიგურაციას ეხება, შესწორება პროფილის მფლობელს ეკუთვნის.
ნუ დააყენებთ თვითნებურ პაჩს გადაუმოწმებელი პროფილის კომპენსაციისთვის და ნუ დაამატებთ დირექტივას ნამდვილი იმპლემენტაციის ხარვეზის შესაკეთებლად. ორივე შეცდომა პროგრესად აღიქმება, ამიტომ ორივე გრძელდება.
გადაწყვიტეთ ჩანაწერში არსებული მტკიცებულებებით
გადაწყვეტილება გამომდინარეობს იქიდან, რაც დაადგინეთ. დოკუმენტირებული დაზარალებული პაკეტი მოითხოვს მის მხარდაჭერილ განახლებას, არამხარდაჭერილ პლატფორმას სჭირდება მიგრაციის გზა, ხოლო მომწოდებლის კლიენტს სჭირდება იმ მომწოდებლის ხელმძღვანელობა. ორაზროვან ინსტრუქციას სჭირდება შეტყობინება და დაზარალებული კომპონენტი, სანამ რომელიმე მათგანი გამოყენებადი გახდება.
შეინახეთ აქტიური კლიენტი, სრული ვერსია, შეტყობინება და პროფილის მფლობელი ერთად ცვლილების ჩანაწერში. ეს უფრო ძლიერია, ვიდრე სახელმძღვანელოზე მითითება, და სწორედ ეს დასჭირდება რეალურად შემდეგ ადამიანს.