vpnc greška slabog šifriranja: politika pristupnika ili popravka na radnoj površini?

Dve popravke izgledaju jednako brze kada stara vpnc veza odbija da se uspostavi: prosleđivanje stare zastavice slabog šifriranja ili ubacivanje omotačke skripte koja je dodaje umesto vas. One nisu ekvivalentne, jer jedna menja politiku jednog profila, a druga ponašanje svakog programa koji poziva taj put. Prvo pitanje je da li pristupnik još nudi slabu ponudu, a drugo ko sme da je prihvati. Sve ostalo sledi iz ta dva odgovora.

Dve popravke vrlo različitog dometa

Promena na nivou profila dira jednu vezu, jednog vlasnika i jedan datum isteka. Zamena instaliranog binarnog fajla dira svaki frontend na mašini, uključujući desktop aplet koji kolega koristi za sasvim drugi profil pristupnika. Omotač takođe skriva promenu od svakoga ko bude otklanjao probleme na hostu šest meseci kasnije.

Provera paketa je prva žrtva: fajl na /usr/sbin/vpnc koji više ne odgovara svom paketu pretvara rutinsko sigurnosno ažuriranje u istragu. Ažuriranja tada ili tiho prepisuju omotač, ili odbijaju da se primene, zavisno od toga kako upravljač paketa tretira izmenjene fajlove. Nijedan ishod se ne pojavljuje u dnevniku veze, zato pristup sa omotačem ostaje privlačan sve do prvog incidenta. Jedan red u profilu je daleko lakše pronaći i ukloniti nego binarni fajl za koji se niko ne seća da ga je zamenio.

Šta zastareli prekidač zapravo radi

vpnc priručnik označava opciju pojedinačnog DES-a kao zastarelu u korist postavke slabog šifriranja i dokumentuje zasebnu opciju koja dopušta nikakvo šifriranje podatkovnog saobraćaja. To su različiti ustupci sa različitim posledicama. Nijedan od njih ne tera moderan pristupnik da pregovara o nečemu što više ne nudi.

Pročitajte fazu neuspeha pre nego što odaberete popravku. Odbijena ponuda i odbijena lozinka daju slične poruke frontenda, ali potpuno različite dokaze.

Gde pripada ograničeni izuzetak

Ako organizacija svesno prihvata stari peer na ograničeno vreme, izuzetak pripada profilu tog peera, sa vlasnikom, datumom pregleda i putem migracije na podržani protokol. Držati ga izvan globalnog puta i jeste ceo smisao naziva ograničen.

Neka vlasnik pristupnika potvrdi koje algoritme peer još predlaže i šta ga zamenjuje. Klijentska zastavica ne može popraviti ponudu koju server više ne šalje, a migracija servera koju niko nije zakazao nadživeće privremeno rešenje. Stavite datum pregleda u isti tiket kao izuzetak, da ustupak istekne umesto da postane trajan.

Proverite pregovaranje, ne samo zelenu ikonu

Prikupljajte dokaze koji identifikuju fazu, a ne raspoloženje dijaloga. Naredbe ispod su samo za čitanje, a prve dve pokazuju koja su konfiguracija i verzija zaista u upotrebi.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Treća naredba prijavljuje fajlove koji više ne odgovaraju paketu, i tako se zaboravljeni omotač sam najavljuje. Četvrta pokazuje ustupke koje profil nosi, da se izuzetak ne može tiho proširiti na drugi profil preko kopiranog fajla. Pokrenite obe pre i posle promene i čuvajte izlaz uz profil veze, a ne u prozoru za ćaskanje.

Držite debug izlaz izvan tiketa dok ga neko ne pročita, jer priručnik upozorava da najviši nivo debuga izbacuje autentifikacijske podatke, uključujući lozinke. Kriterijum prihvatanja je odobren, podržan sporazum između klijenta i pristupnika, a ne stavka menija koja konačno postane zelena. Ako peer nudi samo pokvaren algoritam, iskren ishod je izuzetak sa krajnjim datumom ili zamenski protokol, a ta odluka pripada onome ko poseduje pristupnik. Zapisivanje odluke je razlika između upravljanog izuzetka i slučajne promene politike.