vpnc 약한 암호 오류: 게이트웨이 정책인가 데스크톱 수리인가?

오래된 vpnc 연결이 올라오지 않을 때 두 가지 수리는 똑같이 빨라 보입니다. 오래된 약한 암호 플래그를 넘기거나, 대신 추가해 주는 래퍼 스크립트를 넣는 것이며, 둘은 동등하지 않습니다. 하나는 한 프로필의 정책을 바꾸고, 다른 하나는 그 경로를 호출하는 모든 프로그램의 동작을 바꾸기 때문입니다. 첫 번째 질문은 게이트웨이가 아직 약한 제안을 제공하는지이고, 두 번째는 누가 그것을 받아들일 수 있는지이며, 나머지는 모두 이 두 답에서 나옵니다.

영향 범위가 크게 다른 두 가지 수리

프로필 수준의 변경은 연결 하나, 소유자 하나, 만료일 하나에만 닿습니다. 설치된 바이너리를 교체하면 동료가 전혀 다른 게이트웨이 프로필에 쓰는 데스크톱 애플릿까지 포함해 머신의 모든 프런트엔드에 닿습니다. 래퍼는 여섯 달 뒤 호스트를 디버그할 사람에게서도 변경을 숨깁니다.

패키지 검증이 첫 번째 희생자입니다. /usr/sbin/vpnc의 파일이 더 이상 패키지와 일치하지 않으면 일상적인 보안 업데이트가 조사로 바뀝니다. 그러면 업그레이드는 패키지 관리자가 수정된 파일을 어떻게 처리하는지에 따라 래퍼를 조용히 덮어쓰거나 적용을 거부합니다. 어느 결과도 연결 로그에 나타나지 않으므로 래퍼 접근 방식은 첫 사고까지 매력적으로 남지만, 프로필의 한 줄은 아무도 교체한 것을 기억하지 못하는 바이너리보다 찾고 제거하기 훨씬 쉽습니다.

더 이상 권장되지 않는 스위치가 실제로 하는 일

vpnc 설명서는 단일 DES 옵션을 약한 암호화 설정에 밀려 더 이상 권장되지 않는다고 표시하고, 데이터 트래픽에 암호화를 전혀 허용하지 않는 별도 옵션을 문서화합니다. 서로 다른 결과를 낳는 서로 다른 양보입니다. 어느 것도 최신 게이트웨이가 더 이상 제공하지 않는 것을 협상하게 만들지 않습니다.

수리를 고르기 전에 실패 단계를 읽으십시오. 거부된 제안과 거부된 비밀번호는 비슷한 프런트엔드 메시지를 내지만 증거는 완전히 다릅니다.

범위가 제한된 예외가 있어야 할 곳

조직이 제한된 기간 동안 구형 피어를 의도적으로 받아들인다면, 예외는 그 피어의 프로필에 있어야 하며 소유자, 검토 날짜, 지원되는 프로토콜로의 마이그레이션 경로를 갖춥니다. 그것을 전역 경로 밖에 두는 것이 바로 범위 제한이라 부르는 이유입니다.

게이트웨이 소유자에게 피어가 아직 제안하는 알고리즘과 그것을 대체하는 것이 무엇인지 확인하게 하십시오. 클라이언트 플래그는 서버가 더 이상 보내지 않는 제안을 고칠 수 없고, 아무도 계획하지 않은 서버 마이그레이션은 우회책보다 오래 살아남습니다. 검토 날짜를 예외와 같은 티켓에 넣어 양보가 영구화되지 않고 만료되게 하십시오.

협상을 확인하십시오, 초록 아이콘만 보지 말고

대화의 분위기가 아니라 단계를 식별하는 증거를 모으십시오. 아래 명령은 읽기 전용이며, 처음 두 개는 어떤 구성과 버전이 실제로 적용되는지 보여 줍니다.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

세 번째 명령은 더 이상 패키지와 일치하지 않는 파일을 보고하며, 잊힌 래퍼는 이렇게 자신을 알립니다. 네 번째는 프로필이 지닌 양보를 보여 주므로, 예외가 복사된 파일을 통해 두 번째 프로필로 조용히 퍼질 수 없습니다. 변경 전과 후에 둘 다 실행하고, 출력은 채팅 창이 아니라 연결 프로필과 함께 보관하십시오.

디버그 출력은 누군가 읽을 때까지 티켓 밖에 두십시오. 설명서는 최고 디버그 수준이 비밀번호를 포함한 인증 데이터를 쏟아낸다고 경고합니다. 수용 기준은 클라이언트와 게이트웨이 사이의 승인되고 지원되는 합의이지, 마침내 초록색이 되는 메뉴 항목이 아닙니다. 피어가 고장 난 알고리즘만 제공한다면 정직한 결과는 종료 날짜가 있는 예외나 대체 프로토콜이며, 그 결정은 게이트웨이를 소유한 사람의 몫이고, 결정을 기록하는 것이 관리된 예외와 우발적 정책 변경의 차이입니다.