Ralat sifer lemah vpnc: dasar gateway atau pembaikan desktop?

Dua pembaikan kelihatan sama pantas apabila sambungan vpnc lama enggan naik: hantar bendera sifer lemah lama, atau masukkan skrip pembalut yang menambahnya untuk anda. Kedua-duanya tidak setara, kerana satu mengubah dasar satu profil dan satu lagi mengubah tingkah laku setiap program yang memanggil laluan itu. Soalan pertama ialah sama ada gateway masih menawarkan cadangan lemah, dan kedua ialah siapa yang dibenarkan menerimanya. Segala-galanya mengikuti daripada dua jawapan itu.

Dua pembaikan dengan kesan yang sangat berbeza

Perubahan pada peringkat profil menyentuh satu sambungan, satu pemilik dan satu tarikh luput. Menggantikan binari yang dipasang menyentuh setiap frontend pada mesin, termasuk applet desktop yang digunakan rakan sekerja untuk profil gateway yang sama sekali berbeza. Pembalut juga menyembunyikan perubahan daripada sesiapa yang menyahpepijat hos enam bulan kemudian.

Pengesahan pakej ialah mangsa pertama: fail di /usr/sbin/vpnc yang tidak lagi sepadan dengan pakejnya mengubah kemas kini keselamatan rutin menjadi siasatan. Kemas kini kemudian sama ada menimpa pembalut secara senyap atau enggan digunakan, bergantung pada cara pengurus pakej mengendalikan fail yang diubah suai. Kedua-dua hasil tidak muncul dalam log sambungan, itulah sebabnya pendekatan pembalut kekal menarik sehingga insiden pertama. Satu baris dalam profil jauh lebih mudah dicari dan dibuang daripada binari yang tiada siapa ingat telah diganti.

Apa yang sebenarnya dilakukan suis usang

Manual vpnc menandakan pilihan DES tunggal sebagai usang demi tetapan penyulitan lemah, dan mendokumenkan pilihan berasingan yang membenarkan tiada penyulitan langsung untuk trafik data. Itu konsesi berbeza dengan akibat berbeza. Kedua-duanya tidak membuat gateway moden berunding tentang sesuatu yang tidak lagi ditawarkannya.

Baca peringkat kegagalan sebelum memilih pembaikan. Cadangan yang ditolak dan kata laluan yang ditolak menghasilkan mesej frontend yang serupa tetapi bukti yang sama sekali berbeza.

Di mana pengecualian terhad sepatutnya berada

Jika organisasi secara sedar menerima rakan lama untuk tempoh terhad, pengecualian itu berada dalam profil rakan tersebut, dengan pemilik, tarikh semakan dan laluan migrasi kepada protokol yang disokong. Menyimpannya di luar laluan global ialah keseluruhan maksud menyebutnya terhad.

Minta pemilik gateway mengesahkan algoritma mana yang masih dicadangkan rakan dan apa yang menggantikannya. Bendera klien tidak boleh membaiki cadangan yang tidak lagi dihantar pelayan, dan migrasi pelayan yang tiada siapa jadualkan akan hidup lebih lama daripada penyelesaian sementara. Letakkan tarikh semakan dalam tiket yang sama dengan pengecualian, supaya konsesi tamat dan bukannya menjadi kekal.

Periksa rundingan, bukan hanya ikon hijau

Kumpulkan bukti yang mengenal pasti peringkat dan bukannya mood dialog. Perintah di bawah adalah baca sahaja, dan dua yang pertama menunjukkan konfigurasi dan versi mana yang sebenarnya digunakan.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Perintah ketiga melaporkan fail yang tidak lagi sepadan dengan pakej, dan begitulah pembalut yang terlupa mengumumkan dirinya. Yang keempat menunjukkan konsesi yang dibawa profil, supaya pengecualian tidak boleh merebak secara senyap ke profil kedua melalui fail yang disalin. Jalankan kedua-duanya sebelum dan selepas perubahan, dan simpan output bersama profil sambungan dan bukannya dalam tetingkap sembang.

Jauhkan output nyahpepijat daripada tiket sehingga seseorang telah membacanya, kerana manual memberi amaran bahawa tahap nyahpepijat tertinggi membuang data pengesahan termasuk kata laluan. Kriteria penerimaan ialah perjanjian dibenarkan dan disokong antara klien dan gateway, bukan item menu yang akhirnya bertukar hijau. Jika rakan hanya menawarkan algoritma rosak, hasil jujurnya ialah pengecualian dengan tarikh tamat atau protokol pengganti, dan keputusan itu milik sesiapa yang memiliki gateway. Merekodkan keputusan ialah perbezaan antara pengecualian terurus dan perubahan dasar yang tidak disengajakan.