Ni mchakato gani wa VPN unaoguswa na ugunduzi huo wa udhaifu?

Matokeo ya kichunguzi hutaja anwani, lango na kitu kilichojadiliwa hapo. Hayataji mchakato ulio nyuma ya soketi hiyo, na kwenye mwenyeji wa VPN michakato kadhaa inaweza kushiriki mashine wakati mmoja tu kati yao ndio handaki. Kusoma mfuatano wa toleo kutoka kwa zana ya kando au kupata faili la maktaba kwenye diski huongeza ushahidi kuhusu mwenyeji, si kuhusu msikilizaji. Ugunduzi huwa wa kutekelezeka tu unapounganishwa na sehemu moja inayoendelea na kisha kulinganishwa na wigo ambao taarifa husema kwa kweli.

Mpangilio ni muhimu: sehemu kwanza, taarifa pili, matengenezo tatu.

Ripoti hutaja lango, si programu

Anza na sehemu ya mwisho iliyotathminiwa kwa kweli. Uchunguzi dhidi ya lango la usimamizi la HTTPS ulipima huduma ya wavuti, mkusanyiko wake wa TLS na proksi yoyote iliyo mbele yake; haukujifunza chochote kuhusu msikilizaji OpenVPN au WireGuard kwenye lango lingine. Proksi za kinyume na mawakala wa usimamizi hufanya hili kuwa baya zaidi, kwa sababu cheti na bango vinaweza kuwa vya upande wa mbele wakati maktaba hatarishi iko nyuma yake katika mchakato wa nyuma.

Rekodi lengwa, usafiri, lango na jina la huduma pamoja na matokeo ili wigo usafiri na ugunduzi.

Muundo unaoendelea ni upi kwa kweli

Kwenye mwenyeji wa matumizi ya jumla, kifurushi kilichosakinishwa na maktaba iliyopakiwa ni maswali mawili tofauti. Hifadhidata ya vifurushi inaweza kuorodhesha toleo lililoboreshwa wakati daemon ya muda mrefu bado inashikilia kitu cha zamani kilichoshirikiwa kwenye kumbukumbu, na picha ya kifaa iliyofungwa inaweza kubeba maktaba zake ambazo hakuna msimamizi wa vifurushi anayeripoti. Muulize msimamizi wa huduma kinachoendelea, kisha kagua mchakato na viungo vyake.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Muda wa kuanza kwenye orodha ya michakato ni maelezo ambayo watu huruka. Daemon iliyoanza kabla ya sasisho la mwisho la vifurushi bado inaendesha muundo iliyoupakia wakati wa kuwasha, na hii ndiyo hali hasa ambapo orodha inasema imerekebishwa na soketi inasema kinyume.

Kulinganisha muundo na wigo wa taarifa

Taarifa hueleza bidhaa, matoleo na wakati mwingine masharti yanayohitajika, na sehemu hizo tatu hazilingani kila wakati na toleo la kifurushi. Taarifa ya Heartbleed ya OpenVPN ya Aprili 2014 ni mfano wa kihistoria unaofaa kwa sababu hutenganisha matoleo ya Access Server yaliyoathirika na huduma za wavuti na daemon za VPN, ambazo zilikuwa na mfiduo tofauti. Somo ni kusoma sehemu gani maandishi yanashughulikia badala ya kulinganisha neno OpenSSL kwa mfumo.

Taarifa hiyo pia imepitwa na wakati. Namba zake za toleo zilizoboreshwa si ushauri wa usakinishaji sasa, na kasoro iliyorekebishwa 2014 haisemi chochote kuhusu matatizo ya baadaye katika tawi unalolifanyia kazi leo.

Kutatua kutokubaliana, kisha kufunga mfiduo

Wakati orodha na tathmini hazikubaliani, angalia kama zote zinazoeleza sehemu moja ya mwisho na mazingira moja ya uendeshaji: anwani nyingine, proksi ya mbele, huduma ya pili, mchakato wa zamani bado umefungwa kwenye lango, au maktaba iliyofungwa ambayo msimamizi wa vifurushi hakuwahi kuiona. Tatua hilo kwenye mpaka kabla ya kuandika upya ripoti.

Tumia marekebisho yanayoungwa mkono, anzisha upya huduma iliyoathirika na uthibitisha kuwa muundo mpya ndio unaoendelea sasa. Faili lililoboreshwa kwenye diski wakati mchakato wa zamani bado unahudumia trafiki si matengenezo.

Kisha shughulikia kile ambacho sehemu hiyo inaweza kuwa imeshikilia wakati wa dirisha la mfiduo. Kurekebisha na kubadilisha vitambulisho hujibu maswali tofauti, na cheti kilichohifadhiwa karibu na mwenyeji aliyeathirika si orodha yenyewe ya kile kilichovuja. Fuata utaratibu wa mmiliki wa tukio kwa kufuta, kuondoa vipindi na masasisho ya wateja, na rekodi sehemu gani iliathirika, kwa nini ushahidi ulitumika na nini kiliifunga. Rekodi hiyo ndiyo itakayosomwa na mapitio ya baadaye.