vpnc-ის სუსტი შიფრის შეცდომა: კარიბჭის პოლიტიკა თუ სამუშაო მაგიდის შეკეთება?

ორი შეკეთება ერთნაირად სწრაფად გამოიყურება, როცა ძველი vpnc კავშირი არ ადის: გადასცეთ ძველი სუსტი შიფრის დროშა, ან ჩასვით გარსის სკრიპტი, რომელიც მას თქვენ ნაცვლად ამატებს. ისინი არ არიან ეკვივალენტური, რადგან ერთი ცვლის ერთი პროფილის პოლიტიკას, მეორე კი — ამ გზის გამომძახებელი ყველა პროგრამის ქცევას. პირველი კითხვაა, სთავაზობს თუ არა კარიბჭე ჯერ კიდევ სუსტ შეთავაზებას, მეორე კი — ვის აქვს მისი მიღების უფლება. დანარჩენი ყველაფერი ამ ორი პასუხიდან გამომდინარეობს.

ორი შეკეთება ძალიან განსხვავებული გავლენით

პროფილის დონეზე ცვლილება ეხება ერთ კავშირს, ერთ მფლობელს და ერთ ვადას. ინსტალირებული ბინარის შეცვლა ეხება მანქანის ყველა ფრონტენდს, მათ შორის სამუშაო მაგიდის აპლეტს, რომელსაც კოლეგა სრულიად სხვა კარიბჭის პროფილისთვის იყენებს. გარსი ასევე მალავს ცვლილებას ყველასგან, ვინც ექვსი თვის შემდეგ ჰოსტს გამართავს.

პაკეტის შემოწმება პირველი მსხვერპლია: ფაილი /usr/sbin/vpnc-ში, რომელიც აღარ შეესაბამება პაკეტს, რუტინულ უსაფრთხოების განახლებას გამოძიებად აქცევს. შემდეგ განახლებები ან ჩუმად გადაწერს გარსს, ან უარს ამბობს გამოყენებაზე — იმის მიხედვით, როგორ ექცევა პაკეტის მენეჯერი შეცვლილ ფაილებს. არც ერთი შედეგი არ ჩანს კავშირის ჟურნალში, ამიტომ გარსის მიდგომა მიმზიდველი რჩება პირველ ინციდენტამდე. პროფილში ერთი სტრიქონი გაცილებით ადვილი მოსაძებნი და მოსაშორებელია, ვიდრე ბინარი, რომლის შეცვლა არავის ახსოვს.

რას აკეთებს სინამდვილეში მოძველებული გადამრთველი

vpnc-ის სახელმძღვანელო ერთი DES-ის ვარიანტს მოძველებულად აცხადებს სუსტი დაშიფვრის პარამეტრის სასარგებლოდ და აღწერს ცალკე ვარიანტს, რომელიც მონაცემთა ტრაფიკისთვის საერთოდ არ უშვებს დაშიფვრას. ეს სხვადასხვა დათმობებია სხვადასხვა შედეგებით. არც ერთი მათგანი არ აიძულებს თანამედროვე კარიბჭეს იმაზე მოლაპარაკებას, რასაც აღარ სთავაზობს.

წაიკითხეთ მარცხის ეტაპი შეკეთების არჩევამდე. უარყოფილი შეთავაზება და უარყოფილი პაროლი მსგავს ფრონტენდის შეტყობინებებს იძლევა, მაგრამ სრულიად განსხვავებულ მტკიცებულებებს.

სად არის შეზღუდული გამონაკლისის ადგილი

თუ ორგანიზაცია შეგნებულად იღებს ძველ პარტნიორს შეზღუდული პერიოდით, გამონაკლისი მის პროფილში უნდა იყოს — მფლობელით, განხილვის თარიღით და მხარდაჭერილ პროტოკოლზე გადასვლის გზით. გლობალური გზის გარეთ მისი შენახვა სწორედ იმის მთელი აზრია, რომ შეზღუდულს ვუწოდებთ.

სთხოვეთ კარიბჭის მფლობელს დაადასტუროს, რომელ ალგორითმებს სთავაზობს პარტნიორი ჯერ კიდევ და რა ცვლის მათ. კლიენტის დროშა ვერ შეაკეთებს შეთავაზებას, რომელსაც სერვერი აღარ აგზავნის, და ვისაც არავის დაუგეგმავს სერვერის მიგრაცია, იცოცხლებს უფრო დიდხანს, ვიდრე დროებითი გადაწყვეტა. განხილვის თარიღი იმავე ბილეთში ჩასვით, სადაც გამონაკლისი, რომ დათმობა ამოიწუროს და არ გახდეს მუდმივი.

შეამოწმეთ მოლაპარაკება და არა მხოლოდ მწვანე ხატულა

შეაგროვეთ მტკიცებულებები, რომლებიც ეტაპს განსაზღვრავს და არა დიალოგის განწყობას. ქვემოთ მოცემული ბრძანებები მხოლოდ კითხვისთვისაა, და პირველი ორი გვიჩვენებს, რომელი კონფიგურაცია და ვერსიაა ნამდვილად თამაშში.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

მესამე ბრძანება იტყობინება ფაილებზე, რომლებიც აღარ შეესაბამება პაკეტს, და ასე აცხადებს თავს დავიწყებული გარსი. მეოთხე აჩვენებს დათმობებს, რომლებსაც პროფილი ატარებს, რათა გამონაკლისი ჩუმად არ გავრცელდეს მეორე პროფილზე კოპირებული ფაილის მეშვეობით. გაუშვით ორივე ცვლილებამდე და შემდეგ, და გამომავალი შეინახეთ კავშირის პროფილთან და არა ჩატის ფანჯარაში.

დებაგის გამომავალი ბილეთების გარეთ შეინახეთ, სანამ ვინმე წაიკითხავს, რადგან სახელმძღვანელო აფრთხილებს, რომ დებაგის უმაღლესი დონე ავტორიზაციის მონაცემებს, პაროლების ჩათვლით, ამოყრის. მიღების კრიტერიუმია კლიენტსა და კარიბჭეს შორის ავტორიზებული, მხარდაჭერილი შეთანხმება და არა მენიუს პუნქტი, რომელიც საბოლოოდ მწვანდება. თუ პარტნიორი მხოლოდ გატეხილ ალგორითმს სთავაზობს, პატიოსანი შედეგია გამონაკლისი დასრულების თარიღით ან შემცვლელი პროტოკოლი, და ეს გადაწყვეტილება კარიბჭის მფლობელს ეკუთვნის. გადაწყვეტილების ჩაწერა განსხვავებაა მართულ გამონაკლისსა და შემთხვევით პოლიტიკის ცვლილებას შორის.