Linji tal-cipher antikwati fi profili VPN qodma: aqra qabel ma tikkopja

Dan il-profil inkiteb fl-2016, u għadu jiġi importat u għadu jikkonnettja. Huwa eżattament għalhekk li ħadd ma jħares lejh. Il-klijent li darba kien jaqra dawn id-direttivi telaq minn hawn żmien twil, u l-bini attwali jista’ jinterpreta diversi minnhom b’mod differenti.

Il-fatt li fajl jibqa’ ħaj ma jfissirx li l-konfigurazzjoni hija aġġornata. Is-separazzjoni ta’ dawn iż-żewġ ideat hija l-biċċa l-kbira tax-xogħol.

Skopri liema klijent kiteb il-profil

Ibda bil-pubblikatur u l-verżjoni. It-tifsira ta’ direttiva hija definita mill-implimentazzjoni li taqraha. Linja li darba kienet tagħżel algoritmu tista’ ssir lista ta’ riżerva, twissija jew żball qawwi. Liema rilaxx jinterpretaha jiddeċiedi r-riżultat.

OpenVPN hija l-eżempju l-aktar ċar. Il-verżjoni 2.5 introduċiet data-ciphers u bidlet kif id-direttiva eqdem cipher tipparteċipa fin-negozjati. Profil li jġorr biss cipher AES-128-CBC issa jagħmel proposta ħafna idjaq milli kien beħsieb l-awtur tiegħu.

Aqra n-noti tar-rilaxx għall-ambjent li issa jwissi jew ifalli. Twissija fil-log hija fatt dwar il-bini attwali, u tiswa iktar mill-memorja ta’ ħadd dwar għaliex ġiet miżjuda l-linja.

Ara x’innegozjat tassew

Import li jirnexxi jipprova l-parsing, mhux il-politika. Ir-riżultat innegozjat jidher fil-log tal-klijent wara li tinħoloq il-konnessjoni. Jista’ jkun differenti minn tarf it-tnejn tal-fajl tal-konfigurazzjoni.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Import aċċettat li jwarrab direttiva bil-kwiet iħalli profil li jinqara b’mod u jġib ruħu b’ieħor. Dak il-vojt huwa kif dokument imtella’ bħala msaħħaħ jinnegozja xi ħaġa iktar dgħajfa minn dak li jistqarr it-test tiegħu stess. Il-log huwa l-unika post fejn tidher id-differenza. Aqrah qabel ma tafda l-fajl.

Aġġorna l-arranġament, mhux il-linja

Ħu l-profil li jżomm l-operatur minflok tlaqqa’ ismijiet tal-algoritmi sakemm l-import jieqaf jilmenta. Iż-żieda ta’ linji b’prova taqleb id-direzzjoni tat-tiswija. Hija tadatta l-klijent għal server mhux magħruf minflok ma tistabbilixxi x’jappoġġa s-server.

Jista’ jkun li s-server ukoll jeħtieġ l-aġġornament ikkoordinat. Klijent attwali ma jistax joħloq appoġġ għal proposta li l-parti l-oħra qatt ma toffri. L-ebda għażla fuq in-naħa tal-klijent ma tissostitwixxi gateway li ma ġiex aġġornat.

Dak li m’għandux jiġi sagrifikat huwa l-verifika. It-tneħħija tal-kontrolli taċ-ċertifikati, l-iżattivar tal-kontroll tal-isem tal-host jew it-tifi tal-aġġornamenti biex profil antik jibqa’ ħaj tbiddel problema ta’ kompatibilità fi problema ta’ fiduċja. Normalment jiġri edit wieħed żgħir kull darba.

Ikkonferma r-riżultat u rreġistra l-eċċezzjoni

Wara l-bidla, iċċekkja mill-ġdid is-sett innegozjat u ttestja r-riżors li għalih teżisti l-mina. Profil li jinnegozja dak li kellek f’moħħok u xorta ma jilħaqx is-servizz għandu problema ta’ routing jew identità. M’għandux problema kriptografika.

Żomm il-konfigurazzjoni preċedenti magħrufa bħala tajba f’post protett. Paragun huwa possibbli biss sakemm il-fajl antik għadu jeżisti.

Iddokumenta kwalunkwe eċċezzjoni ta’ kompatibilità ma’ sid u data ta’ reviżjoni. Arranġament temporanju li m’għandu l-ebda sid isir politika permanenti. Il-persuna li jmiss li taqra l-fajl se tassumi li ntgħażel apposta.