vpnc silpno šifro klaida: tinklų sietuvo politika ar darbalaukio taisymas?

Du taisymai atrodo vienodai greiti, kai senas vpnc ryšys atsisako kilti: perduoti seną silpno šifro vėliavėlę arba įterpti apvalkalo scenarijų, kuris ją prideda už jus. Jie nelygūs, nes vienas keičia vieno profilio politiką, o kitas – kiekvienos programos, kuri kviečia tą kelią, elgesį. Pirmas klausimas – ar tinklų sietuvas dar siūlo silpną pasiūlymą, o antras – kam leidžiama jį priimti. Visa kita kyla iš šių dviejų atsakymų.

Du taisymai labai skirtingo poveikio

Profilio lygmens pakeitimas paliečia vieną ryšį, vieną savininką ir vieną galiojimo datą. Įdiegto dvejetainio failo pakeitimas paliečia kiekvieną frontendą mašinoje, įskaitant darbalaukio programėlę, kurią kolega naudoja visiškai kitam tinklų sietuvo profiliui. Apvalkalas taip pat paslepia pakeitimą nuo kiekvieno, kas po pusmečio derins serverį.

Paketo tikrinimas yra pirmoji auka: failas, esantis /usr/sbin/vpnc, kuris nebeatitinka savo paketo, įprastą saugumo atnaujinimą paverčia tyrimu. Tada atnaujinimai arba tyliai perrašo apvalkalą, arba atsisako būti taikomi – priklausomai nuo to, kaip paketų tvarkyklė elgiasi su pakeistais failais. Nė vienas rezultatas neatsiranda ryšio žurnale, todėl apvalkalo metodas išlieka patrauklus iki pirmo incidento. Viena eilutė profilyje yra daug lengviau randama ir pašalinama nei dvejetainis failas, kurio pakeitimą niekas neprisimena.

Ką iš tikrųjų daro pasenęs jungiklis

vpnc vadove vieno DES parinktis pažymėta pasenusia dėl silpno šifravimo nuostatos, ir dokumentuojama atskira parinktis, leidžianti visiškai nešifruoti duomenų srauto. Tai skirtingos nuolaidos su skirtingomis pasekmėmis. Nė viena iš jų nepriverčia šiuolaikinio tinklų sietuvo derėtis dėl to, ko jis nebesiūlo.

Prieš rinkdamiesi taisymą perskaitykite gedimo etapą. Atmestas pasiūlymas ir atmestas slaptažodis duoda panašius frontend pranešimus, bet visiškai skirtingus įrodymus.

Kur priklauso ribota išimtis

Jei organizacija sąmoningai priima seną partnerį ribotam laikotarpiui, išimtis priklauso to partnerio profiliui, su savininku, peržiūros data ir migracijos keliu į palaikomą protokolą. Laikyti ją už globalaus kelio ribų – visa tai, ką reiškia vadinti ją ribota.

Paprašykite tinklų sietuvo savininko patvirtinti, kuriuos algoritmus partneris dar siūlo ir kas jį pakeičia. Kliento vėliavėlė negali pataisyti pasiūlymo, kurio serveris nebesiunčia, o serverio migracija, kurios niekas nesuplanavo, pergyvens laikiną sprendimą. Įdėkite peržiūros datą į tą patį bilietą kaip išimtį, kad nuolaida pasibaigtų, o ne taptų nuolatinė.

Tikrinkite derybas, o ne tik žalią piktogramą

Rinkite įrodymus, kurie nustato etapą, o ne dialogo nuotaiką. Toliau pateiktos komandos yra tik skaitymui, o pirmosios dvi parodo, kuri konfigūracija ir versija iš tikrųjų naudojamos.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Trečioji komanda praneša apie failus, kurie nebeatitinka paketo, ir taip pasiskelbia pamirštas apvalkalas. Ketvirtoji parodo nuolaidas, kurias turi profilis, kad išimtis negalėtų tyliai plisti į antrą profilį per nukopijuotą failą. Paleiskite abi prieš ir po pakeitimo, o išvestį saugokite prie ryšio profilio, o ne pokalbių lange.

Laikykite derinimo išvestį už bilietų, kol kas nors ją perskaitys, nes vadovas įspėja, kad aukščiausias derinimo lygis išmeta autentifikavimo duomenis, įskaitant slaptažodžius. Priėmimo kriterijus – įgaliotas, palaikomas susitarimas tarp kliento ir tinklų sietuvo, o ne meniu punktas, kuris pagaliau pažaliuoja. Jei partneris siūlo tik sugedusį algoritmą, sąžiningas rezultatas yra išimtis su pabaigos data arba pakaitinis protokolas, ir šis sprendimas priklauso tam, kas valdo tinklų sietuvą. Sprendimo užrašymas yra skirtumas tarp valdomos išimties ir atsitiktinio politikos pakeitimo.