vpnc vājā šifra kļūda: vārtejas politika vai darbvirsmas labojums?

Divi labojumi šķiet vienlīdz ātri, kad vecs vpnc savienojums atsakās pacelties: nodot veco vājā šifra karodziņu vai ievietot aptverošu skriptu, kas to pievieno jūsu vietā. Tie nav līdzvērtīgi, jo viens maina viena profila politiku, bet otrs – katras programmas, kas izsauc šo ceļu, uzvedību. Pirmais jautājums ir, vai vārteja vēl piedāvā vāju priekšlikumu, un otrais – kam atļauts to pieņemt. Viss pārējais izriet no šīm divām atbildēm.

Divi labojumi ar ļoti atšķirīgu ietekmi

Profila līmeņa izmaiņa skar vienu savienojumu, vienu īpašnieku un vienu derīguma termiņu. Instalētā binārā faila aizstāšana skar katru frontend mašīnā, tostarp darbvirsmas lietotni, ko kolēģis izmanto pilnīgi citam vārtejas profilam. Aptvere arī slēpj izmaiņu no ikviena, kas pēc pusgada atkļūdos resursdatoru.

Pakotnes pārbaude ir pirmais upuris: fails /usr/sbin/vpnc, kas vairs neatbilst savai pakotnei, parasto drošības atjauninājumu pārvērš izmeklēšanā. Tad atjauninājumi vai nu klusi pārraksta aptveri, vai atsakās tikt lietoti, atkarībā no tā, kā pakotņu pārvaldnieks izturas pret mainītām datnēm. Neviens no rezultātiem neparādās savienojuma žurnālā, tāpēc aptveres pieeja paliek pievilcīga līdz pirmajam incidentam. Viena rinda profilā ir daudz vieglāk atrodama un noņemama nekā binārs fails, kura aizstāšanu neviens neatceras.

Ko novecojušais slēdzis patiešām dara

vpnc rokasgrāmata atzīmē viena DES opciju kā novecojušu par labu vājas šifrēšanas iestatījumam un dokumentē atsevišķu opciju, kas datu plūsmai vispār nepieļauj šifrēšanu. Tie ir dažādi piekāpumi ar dažādām sekām. Neviens no tiem neliek mūsdienīgai vārtejai apspriest kaut ko tādu, ko tā vairs nepiedāvā.

Pirms labojuma izvēles izlasiet atteices posmu. Noraidīts priekšlikums un noraidīta parole dod līdzīgus frontend ziņojumus, bet pilnīgi atšķirīgus pierādījumus.

Kur pieder ierobežots izņēmums

Ja organizācija apzināti pieņem vecu partneri uz ierobežotu laiku, izņēmums pieder šī partnera profilam – ar īpašnieku, pārskatīšanas datumu un migrācijas ceļu uz atbalstītu protokolu. Tā turēšana ārpus globālā ceļa ir visa tā jēga, ko nozīmē saukt to par ierobežotu.

Lūdziet vārtejas īpašniekam apstiprināt, kādus algoritmus partners vēl piedāvā un kas to aizstāj. Klienta karodziņš nevar salabot priekšlikumu, ko serveris vairs nesūta, un servera migrācija, ko neviens nav ieplānojis, pārdzīvos pagaidu risinājumu. Ievietojiet pārskatīšanas datumu tajā pašā biļetē kā izņēmumu, lai piekāpums beigtos, nevis kļūtu pastāvīgs.

Pārbaudiet sarunas, ne tikai zaļo ikonu

Vāciet pierādījumus, kas identificē posmu, nevis dialoga noskaņojumu. Tālāk minētās komandas ir tikai lasīšanai, un pirmās divas parāda, kura konfigurācija un versija patiešām ir spēkā.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Trešā komanda ziņo par datnēm, kas vairs neatbilst pakotnei, un tā aizmirsta aptvere paziņo par sevi. Ceturtā parāda piekāpumus, ko nes profils, lai izņēmums nevarētu klusi izplatīties uz otru profilu ar nokopētu datni. Palaidiet abas pirms un pēc izmaiņas, un glabājiet izvadi kopā ar savienojuma profilu, nevis tērzēšanas logā.

Turiet atkļūdošanas izvadi ārpus biļetēm, līdz kāds to izlasījis, jo rokasgrāmata brīdina, ka augstākais atkļūdošanas līmenis izgāž autentifikācijas datus, tostarp paroles. Pieņemšanas kritērijs ir pilnvarota, atbalstīta vienošanās starp klientu un vārteju, nevis izvēlnes vienums, kas beidzot kļūst zaļš. Ja partners piedāvā tikai salauztu algoritmu, godīgais iznākums ir izņēmums ar beigu datumu vai aizstājējprotokols, un šis lēmums pieder tam, kam pieder vārteja. Lēmuma pierakstīšana ir atšķirība starp pārvaldītu izņēmumu un nejaušu politikas izmaiņu.