Chyba slabého šifrovania vpnc: politika brány alebo oprava pracovnej plochy?

Dve opravy vyzerajú rovnako rýchlo, keď sa staré pripojenie vpnc odmieta zdvihnúť: odovzdať starý príznak slabého šifrovania alebo vložiť obalový skript, ktorý ho pridá za vás. Nie sú rovnocenné, pretože jedna mení politiku jediného profilu a druhá správanie každého programu, ktorý volá túto cestu. Prvá otázka je, či brána ešte vôbec ponúka slabý návrh, a druhá, kto ho smie prijať. Všetko ostatné vyplýva z tých dvoch odpovedí.

Dve opravy s veľmi rozdielnym dosahom

Zmena na úrovni profilu sa dotkne jedného pripojenia, jedného vlastníka a jedného dátumu vypršania. Nahradenie nainštalovaného binárneho súboru sa dotkne každého frontendu na stroji, vrátane appletu na pracovnej ploche, ktorý kolega používa pre úplne iný profil brány. Obal tiež skryje zmenu pred každým, kto bude o pol roka ladiť hostiteľa.

Overenie balíčka je prvou obeťou: súbor v /usr/sbin/vpnc, ktorý už nezodpovedá svojmu balíčku, mení rutinnú bezpečnostnú aktualizáciu na vyšetrovanie. Aktualizácie potom buď obal ticho prepíšu, alebo odmietnu sa použiť, podľa toho, ako správca balíčkov zaobchádza s upravenými súbormi. Ani jeden výsledok sa neobjaví v protokole pripojenia, a preto zostáva obalový prístup lákavý až do prvého incidentu. Jeden riadok v profile je oveľa ľahšie nájsť a odstrániť ako binárny súbor, o ktorého nahradení si nikto nepamätá.

Čo starý prepínač vlastne robí

Príručka vpnc označuje voľbu jediného DES za zastaranú v prospech nastavenia slabého šifrovania a dokumentuje samostatnú voľbu, ktorá pripúšťa vôbec žiadne šifrovanie dátovej prevádzky. To sú rôzne ústupky s rôznymi dôsledkami. Ani jeden z nich neprinúti modernú bránu vyjednávať niečo, čo už neponúka.

Pred výberom opravy si prečítajte fázu zlyhania. Odmietnutý návrh a odmietnuté heslo dávajú podobné správy frontendu, ale úplne odlišné dôkazy.

Kam patrí obmedzená výnimka

Ak organizácia vedome prijíma starého partnera na obmedzený čas, výnimka patrí do profilu toho partnera, s vlastníkom, dátumom revízie a cestou migrácie na podporovaný protokol. Držať ju mimo globálnej cesty je celý zmysel slova obmedzená.

Nechajte vlastníka brány potvrdiť, ktoré algoritmy partner ešte ponúka a čo ho nahradí. Klientsky príznak nedokáže opraviť návrh, ktorý server už neposiela, a migrácia servera, ktorú nikto nenaplánoval, prežije dočasné riešenie. Dajte dátum revízie do toho istého tiketu ako výnimku, aby ústupok vypršal, namiesto toho, aby sa stal trvalým.

Kontrolujte vyjednávanie, nielen zelenú ikonu

Zbierajte dôkazy, ktoré určujú fázu, nie náladu dialógu. Príkazy nižšie sú len na čítanie a prvé dva ukazujú, ktorá konfigurácia a verzia sú skutočne v hre.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Tretí príkaz hlási súbory, ktoré už nezodpovedajú balíčku, a tak sa zabudnutý obal sám prezradí. Štvrtý ukazuje ústupky, ktoré profil nesie, aby sa výnimka nemohla ticho rozšíriť do druhého profilu skopírovaným súborom. Spustite oba pred zmenou aj po nej a výstup uchovajte pri profile pripojenia, nie v chatovom okne.

Držte ladiaci výstup mimo tiketov, kým ho niekto neprečíta, pretože príručka varuje, že najvyššia úroveň ladenia vypisuje autentifikačné údaje vrátane hesiel. Kritérium prijatia je povolená, podporovaná dohoda medzi klientom a bránou, nie položka menu, ktorá napokon zozelenie. Ak partner ponúka len pokazený algoritmus, poctivým výsledkom je výnimka s dátumom konca alebo náhradný protokol a toto rozhodnutie patrí tomu, kto bránu vlastní. Zapísanie rozhodnutia je rozdiel medzi riadenou výnimkou a náhodnou zmenou politiky.