Eroare de criptare slabă vpnc: politică de gateway sau reparație de desktop?

Două reparații par la fel de rapide când o conexiune vpnc veche refuză să pornească: transmiterea vechiului steag de criptare slabă sau inserarea unui script wrapper care îl adaugă pentru dumneavoastră. Nu sunt echivalente, pentru că una schimbă politica unui singur profil, iar cealaltă comportamentul fiecărui program care apelează acea cale. Prima întrebare este dacă gateway-ul mai oferă o propunere slabă, iar a doua este cine are voie să o accepte. Tot restul decurge din aceste două răspunsuri.

Două reparații cu rază de acțiune foarte diferită

O modificare la nivel de profil atinge o conexiune, un proprietar și o dată de expirare. Înlocuirea binarului instalat atinge fiecare frontend de pe mașină, inclusiv appletul de desktop pe care un coleg îl folosește pentru un profil de gateway complet diferit. Wrapper-ul ascunde schimbarea și de oricine va depana gazda șase luni mai târziu.

Verificarea pachetului este prima victimă: un fișier în /usr/sbin/vpnc care nu mai corespunde pachetului său transformă o actualizare de securitate de rutină într-o investigație. Actualizările fie suprascriu wrapper-ul în tăcere, fie refuză să se aplice, în funcție de modul în care managerul de pachete tratează fișierele modificate. Niciunul dintre rezultate nu apare în jurnalul conexiunii, motiv pentru care abordarea cu wrapper rămâne atrăgătoare până la primul incident. O singură linie într-un profil este mult mai ușor de găsit și eliminat decât un binar pe care nimeni nu-și amintește să-l fi înlocuit.

Ce face de fapt comutatorul învechit

Manualul vpnc marchează opțiunea DES unic ca învechită în favoarea unei setări de criptare slabă și documentează o opțiune separată care nu permite deloc criptarea traficului de date. Sunt concesii diferite cu consecințe diferite. Niciuna nu determină un gateway modern să negocieze ceva ce nu mai oferă.

Citiți faza defecțiunii înainte de a alege o reparație. O propunere respinsă și o parolă respinsă produc mesaje de frontend similare, dar dovezi complet diferite.

Unde se plasează o excepție limitată

Dacă o organizație acceptă în cunoștință de cauză un peer vechi pentru o perioadă limitată, excepția aparține profilului acelui peer, cu un proprietar, o dată de revizuire și o cale de migrare către un protocol acceptat. Păstrarea ei în afara căii globale este tot sensul numirii ei limitate.

Rugați proprietarul gateway-ului să confirme ce algoritmi mai propune peer-ul și ce îl înlocuiește. Un steag de client nu poate repara o propunere pe care serverul nu o mai trimite, iar o migrare de server pe care nimeni nu a planificat-o va supraviețui soluției temporare. Puneți data de revizuire în același tichet cu excepția, astfel încât concesia să expire în loc să devină permanentă.

Verificați negocierea, nu doar pictograma verde

Strângeți dovezi care identifică faza, nu starea de spirit a dialogului. Comenzile de mai jos sunt doar pentru citire, iar primele două arată ce configurație și versiune sunt de fapt în joc.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

A treia comandă raportează fișiere care nu mai corespund pachetului, și așa se anunță un wrapper uitat. A patra arată concesiile pe care le poartă profilul, astfel încât o excepție să nu se poată răspândi în tăcere la un al doilea profil printr-un fișier copiat. Rulați ambele înainte și după o modificare și păstrați ieșirea lângă profilul de conexiune, nu într-o fereastră de chat.

Țineți ieșirea de depanare în afara tichetelor până când cineva a citit-o, deoarece manualul avertizează că cel mai înalt nivel de depanare golește date de autentificare, inclusiv parole. Criteriul de acceptare este un acord autorizat și acceptat între client și gateway, nu un element de meniu care în sfârșit devine verde. Dacă peer-ul oferă doar un algoritm stricat, rezultatul onest este o excepție cu dată de sfârșit sau un protocol de înlocuire, iar acea decizie aparține celui care deține gateway-ul. Înregistrarea deciziei este diferența dintre o excepție gestionată și o schimbare accidentală de politică.