Vai šis OpenVPN drošības labojums vispār attiecas uz jūsu instalāciju?

Padoms labot klientu, lai tas validētu sertifikātus, ir pārāk neskaidrs, lai pēc tā rīkotos. Tas var aprakstīt novērstu programmatūras defektu, viena pakalpojumu sniedzēja vecu būvējumu vai profilu, kas nekad nav prasījis šo pārbaudi. Tie ir trīs dažādas izmaiņas ar trim dažādiem īpašniekiem. Rīkoties pēc šī teikuma, nezinot, ar kuru no tiem saskaraties, ir veids, kā strādājošs klients bez iemesla tiek mainīts.

Atdaliet trīs apgalvojumus

Programmatūras defektam ir paziņojums, skartās versijas un labots izlaidums. Pakalpojumu sniedzēja būvējumam ir savs izplatīšanas kanāls un savs atjaunināšanas ritms. Profila izlaidumam nav neviena no tiem, jo izpildāmais fails ir kārtībā un konfigurācija prasa mazāk, nekā jūs pieņēmāt. Kamēr apgalvojums nenosauc vienu no šiem trim, nav ko pārbaudīt.

Pirms meklēšanas uzrakstiet apgalvojumu vienā teikumā. Ja teikums nevar nosaukt, kas ir salauzts, meklēšanai nav mērķa un katrs rezultāts šķiet atbilstošs.

Atrodiet izpildāmo failu, kas patiešām darbojas

Pirms skatīties jebkuru versiju, nosakiet, kas sāk savienojumu. Izplatīšanas pakalpojums, darbvirsmas spraudnis un piegādātāja lietotne var katra izmantot citu izpildāmo failu vai dzinēju. Versija, ko izdrukā jebkurš binārais fails, kas nejauši atrodas čaulas meklēšanas ceļā, nav mašīnas uzskaite. Izlasiet to vienību vai procesu, kas patiešām veica savienojumu.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Pakotnes vaicājums ziņo, ko vietējie metadati uzskata par instalētu un pieejamu, un šis kešs var būt novecojis, tāpēc vispirms to atsvaidziniet. Tas arī neko nepasaka par to, vai darbojošais pakalpojums ielādēja pirms piecām minūtēm instalētu bināro failu. Salīdziniet pakotnes ierakstu ar procesu, kas patiešām ir savienots.

Pakotnes pierādījumi, nevis versijas iespaidi

Distribūciju drošības uzturēšana bieži pārnes labojumus atpakaļ, tāpēc vecāk izskatošā upstream versija joprojām var saturēt ielāpu. Der arī pretējais: pakotnei no nepazīstamas krātuves nav automātiskas tiesības uz pašreizējo uzturēšanu. Lasiet izlaiduma atbalsta statusu, nevis versijas numuru.

Šī atšķirība ir atšķirība starp īstu robu un skaitli, kas tikai izskatās vecs. Pierakstiet krātuvi, no kuras nāca pakotne, jo viena un tā pati versijas virkne var ierasties pa ļoti atšķirīgiem kanāliem ar ļoti atšķirīgu atbalstu.

Konfigurācija ir otra puse

Uzturētam izpildāmajam failam joprojām vajag profilu, kas prasa tās pārbaudes, kuras, jūsuprāt, ir ieviestas. Uzticības enkuri, otras puses paredzētā loma un gaidītais servera nosaukums ir saistīti, bet atsevišķi lēmumi. Lomas pārbaude nav nosaukuma pārbaude, un neviena neaizstāj otru. Ja brīdinājums ir par konfigurāciju, labojums pieder tam, kam pieder profils.

Neinstalējiet patvaļīgu ielāpu, lai kompensētu nepārbaudītu profilu, un nepievienojiet direktīvu, lai salabotu īstu ieviešanas defektu. Abas kļūdas šķiet kā progress, tāpēc abas turpinās.

Izlemiet, pamatojoties uz pierādījumiem ierakstā

Lēmums izriet no tā, ko esat konstatējis. Dokumentētai skartajai pakotnei ir vajadzīgs tās atbalstītais atjauninājums, neatbalstītai platformai vajadzīgs migrācijas ceļš, un piegādātāja klientam vajadzīga tā piegādātāja vadība. Neskaidrai instrukcijai vajadzīgs paziņojums un skarta komponente, pirms kaut kas no tā tiek piemērots.

Turiet aktīvo klientu, pilno versiju, paziņojumu un profila īpašnieku kopā izmaiņu ierakstā. Tas ir spēcīgāk par atsauci uz apmācību, un tas ir tas, kas nākamajam cilvēkam patiešām būs vajadzīgs.