Napaka šibkega šifriranja vpnc: politika prehoda ali popravilo namizja?

Dva popravka se zdita enako hitra, ko se stara povezava vpnc noče dvigniti: posredovati staro zastavico šibkega šifriranja ali vstaviti ovojno skripto, ki jo doda namesto vas. Nista enakovredna, ker ena spremeni politiko enega profila, druga pa vedenje vsakega programa, ki kliče to pot. Prvo vprašanje je, ali prehod še ponuja šibek predlog, drugo pa, kdo ga sme sprejeti. Vse ostalo izhaja iz teh dveh odgovorov.

Dva popravka z zelo različnim dosegom

Sprememba na ravni profila se dotakne ene povezave, enega lastnika in enega datuma poteka. Zamenjava nameščenega binarnega vpnc se dotakne vsakega frontenda na napravi, vključno z namiznim appletom, ki ga sodelavec uporablja za povsem drug profil prehoda. Ovoj tudi skrije spremembo pred vsakim, ki bo čez pol leta razhroščeval gostitelja.

Preverjanje paketa je prva žrtev: datoteka v /usr/sbin/vpnc, ki se ne ujema več s svojim paketom, spremeni rutinsko varnostno posodobitev v preiskavo. Posodobitve nato ovoj tiho prepišejo ali zavrnejo uporabo, odvisno od tega, kako upravitelj paketov obravnava spremenjene datoteke. Noben izid se ne pojavi v dnevniku povezave, zato ovojni pristop ostaja privlačen do prvega incidenta. Ena vrstica v profilu je veliko lažje najti in odstraniti kot binarno datoteko, katere zamenjave se nihče ne spomni.

Kaj zastarelo stikalo pravzaprav počne

Priročnik vpnc označi možnost enega DES kot zastarelo v korist nastavitve šibkega šifriranja in dokumentira ločeno možnost, ki sploh ne dovoli šifriranja podatkovnega prometa. To so različni popustki z različnimi posledicami. Nobeden od njih ne prisili sodobnega prehoda k pogajanjem o nečem, česar ne ponuja več.

Preberite fazo odpovedi, preden izberete popravilo. Zavrnjen predlog in zavrnjeno geslo dajeta podobna sporočila frontenda, a popolnoma različne dokaze.

Kam sodi omejena izjema

Če organizacija zavestno sprejme starega partnerja za omejeno obdobje, izjema sodi v profil tega partnerja, z lastnikom, datumom pregleda in potjo migracije na podprti protokol. Držati jo izven globalne poti je ves smisel, da se ji reče omejena.

Prosita lastnika prehoda, da potrdi, katere algoritme partner še predlaga in kaj ga nadomesti. Odjemalčeva zastavica ne more popraviti predloga, ki ga strežnik ne pošilja več, migracija strežnika, ki je nihče ni načrtoval, pa bo preživela začasno rešitev. Datum pregleda dajte v isto zahtevo kot izjemo, da popust poteče, namesto da postane trajen.

Preverite pogajanja, ne le zelene ikone

Zberite dokaze, ki opredeljujejo fazo, ne razpoloženja pogovora. Ukazi spodaj so samo za branje, prva dva pa pokažeta, katera konfiguracija in različica sta res v igri.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Tretji ukaz poroča o datotekah, ki se ne ujemajo več s paketom, in tako se pozabljen ovoj sam naznani. Četrti pokaže popustke, ki jih nosi profil, da se izjema ne more tiho razširiti na drug profil s kopirano datoteko. Zaženite oba pred spremembo in po njej, izhod pa hranite ob profilu povezave, ne v klepetalnem oknu.

Diagnostični izhod hranite izven zahtevkov, dokler ga nekdo ne prebere, ker priročnik opozarja, da najvišja raven razhroščevanja izpljune overitvene podatke, vključno z gesli. Merilo sprejetja je pooblaščen, podprt dogovor med odjemalcem in prehodom, ne menijska postavka, ki končno postane zelena. Če partner ponuja le pokvarjen algoritem, je pošten izid izjema z datumom konca ali nadomestni protokol, in ta odločitev pripada tistemu, ki ima prehod. Zapis odločitve je razlika med upravljano izjemo in naključno spremembo politike.