Veralt Cipherzeilen an ale VPN-Profiler: liest ier dir kopéiert

Dëse Profil gouf 2016 geschriwwen, an en ass nach ëmmer importéierbar an en verbënnt nach ëmmer. Genau dofir kuckt keen drop. De Client, deen dës Direktive mol gelies huet, ass laang fort, an déi aktuell Versioun kann der e puer anescht interpretéieren.

Datt eng Datei iwwerlieft heescht net, datt d’Konfiguratioun aktuell ass. Dës zwou Iddien ze trennen ass de gréissten Deel vun der Aarbecht.

Fannt eraus, wéi ee Client de Profil geschriwwen huet

Fänkt mam Editeur an der Versioun un. D’Bedeitung vun enger Direktiv gëtt vun der Implementatioun definéiert, déi se liest. Eng Zeil, déi eemol en Algorithmus ausgewielt huet, kann eng Ersatzlëscht, eng Warnung oder en haarde Fehler ginn. Wéi eng Verëffentlechung se interpretéiert entscheet d’Resultat.

OpenVPN ass dat kloersten Beispill. Versioun 2.5 huet data-ciphers agefouert an huet geännert, wéi déi méi al Direktiv cipher un der Verhandlung deelhëlt. E Profil, deen nëmmen cipher AES-128-CBC huet, mécht elo e vill méi enke Virschlag wéi säin Auteur gemengt huet.

Liest d’Verëffentlechungsnotizen fir d’Astellung, déi elo warnt oder feelt. Eng Warnung am Log ass eng Tatsaach iwwer déi aktuell Versioun, an se weit méi wéi jiddwerengem seng Erënnerung drun, firwat d’Zeil bäigefüügt gouf.

Kuckt, wat tatsächlech ausgehandelt gouf

En erfollegräichen Import beweist d’Parsen, net d’Politik. Dat ausgehandelt Resultat erschéngt am Client-Log, nodeems d’Verbindung steet. Et kann sech vun deenen zwou Ennë vun der Konfiguratiounsdatei ënnerscheeden.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

En akzeptéierten Import, dee still eng Direktiv fale léisst, hannerléisst e Profil, deen ee liest a sech anescht verhält. Genau dës Lück erkläert, wéi en Dokument, dat als gehärtet bezeechent gëtt, eppes méi Schwaaches aushandelt, wéi säin eegenen Text behaapt. De Log ass déi eenzeg Plaz, wou den Ënnerscheed opfällt. Liest en, ier dir der Datei vertraut.

Aktualiséiert d’Arrangement, net d’Zeil

Huelt de Profil, deen den Operateur ënnerhält, amplaz Algorithmusnimm zesummenzesetzen, bis den Import ophält ze kléien. Zeile op Prober bäizefüügen ëmdréit d’Richtung vun der Korrektur. Et passt de Client un en onbekannte Server un, amplaz festzestellen, wat de Server ënnerstëtzt.

De Server brauch vläicht och déi koordinéiert Aktualiséierung. En aktuellen Client kann keng Ënnerstëtzung fir e Virschlag schafen, deen déi aner Säit ni ubitt. Keng Optioun op der Client-Säit ersetzt eng Paart, déi net aktualiséiert gouf.

Wat net soll opginn ginn, ass d’Verifikatioun. Zertifikatskontrollen ewechhuelen, d’Hostnumm-Kontroll ausschalten oder Updates ofschalten, fir en ale Profil lieweg ze halen, verwandelt e Kompatibilitéitsproblem an e Vertrauensproblem. Dat geschitt meeschtens eng kleng Ännerung zur Zäit.

Bestätegt d’Resultat a registréiert d’Ausnam

No der Ännerung, kuckt de ausgehandelte Set nach eng Kéier un a test de Ressource, fir deen den Tunnel existéiert. E Profil, deen ausgehandelt huet, wat dir wollt, an awer net de Service erreecht, huet e Routing- oder Identitéitsproblem. Et huet kee kryptographescht Problem.

Haalt déi vireg bekannt gutt Konfiguratioun op enger geschützter Plaz. E Verglach ass nëmme méiglech, soulaang déi al Datei nach existéiert.

Dokumentéiert all Kompatibilitéitsausnam mat engem Eegentümer an engem Iwwerpréifungsdatum. Eng temporär Regelung ouni Eegentümer gëtt eng permanent Politik. Déi nächst Persoun, déi d’Datei liest, wäert unhuelen, si gouf bewosst gewielt.