ข้อผิดพลาดการเข้ารหัสอ่อนของ vpnc: นโยบายเกตเวย์หรือการซ่อมเดสก์ท็อป?

การซ่อมสองวิธีดูเร็วพอกันเมื่อการเชื่อมต่อ vpnc เก่าไม่ยอมขึ้น ได้แก่ การส่งแฟล็กการเข้ารหัสอ่อนแบบเก่า หรือการใส่สคริปต์ห่อที่เพิ่มแฟล็กให้คุณ ทั้งสองไม่เท่ากัน เพราะวิธีหนึ่งเปลี่ยนนโยบายของโปรไฟล์เดียว อีกวิธีเปลี่ยนพฤติกรรมของทุกโปรแกรมที่เรียกเส้นทางนั้น คำถามแรกคือเกตเวย์ยังเสนอข้อเสนอที่อ่อนอยู่หรือไม่ คำถามที่สองคือใครได้รับอนุญาตให้ยอมรับมัน ทุกอย่างที่เหลือตามมาจากสองคำตอบนั้น

การซ่อมสองวิธีที่มีผลกระทบต่างกันมาก

การเปลี่ยนระดับโปรไฟล์แตะการเชื่อมต่อหนึ่งรายการ เจ้าของหนึ่งราย และวันหมดอายุหนึ่งวัน การแทนที่ไบนารีที่ติดตั้งไว้แตะทุกฟรอนต์เอนด์บนเครื่อง รวมถึงแอปเพล็ตเดสก์ท็อปที่เพื่อนร่วมงานใช้กับโปรไฟล์เกตเวย์อีกอันโดยสิ้นเชิง สคริปต์ห่อยังซ่อนการเปลี่ยนแปลงจากทุกคนที่จะดีบักโฮสต์ในอีกหกเดือน

การตรวจสอบแพ็กเกจเป็นเหยื่อรายแรก ไฟล์ที่ /usr/sbin/vpnc ซึ่งไม่ตรงกับแพ็กเกจของมันอีกต่อไปทำให้การอัปเดตความปลอดภัยตามปกติกลายเป็นการสอบสวน จากนั้นการอัปเกรดจะเขียนทับสคริปต์ห่ออย่างเงียบ ๆ หรือปฏิเสธที่จะใช้งาน ขึ้นอยู่กับวิธีที่ตัวจัดการแพ็กเกจจัดการไฟล์ที่ถูกแก้ไข ไม่มีผลลัพธ์ใดปรากฏในบันทึกการเชื่อมต่อ นี่คือเหตุผลที่วิธีสคริปต์ห่อยังน่าสนใจจนถึงเหตุการณ์แรก บรรทัดเดียวในโปรไฟล์หาง่ายและลบง่ายกว่าไบนารีที่ไม่มีใครจำได้ว่าเคยแทนที่

สวิตช์ที่เลิกใช้แล้วทำอะไรจริง ๆ

คู่มือ vpnc ทำเครื่องหมายตัวเลือก DES เดี่ยวว่าเลิกใช้แล้วเพื่อสนับสนุนการตั้งค่าการเข้ารหัสอ่อน และบันทึกตัวเลือกแยกต่างหากที่อนุญาตให้ไม่เข้ารหัสทราฟฟิกข้อมูลเลย ทั้งสองเป็นการผ่อนปรนที่ต่างกันพร้อมผลที่ต่างกัน ไม่มีอันใดทำให้เกตเวย์สมัยใหม่เจรจาสิ่งที่มันไม่เสนอแล้ว

อ่านขั้นตอนความล้มเหลวก่อนเลือกการซ่อม ข้อเสนอที่ถูกปฏิเสธและรหัสผ่านที่ถูกปฏิเสธให้ข้อความฟรอนต์เอนด์คล้ายกันแต่หลักฐานต่างกันโดยสิ้นเชิง

ข้อยกเว้นแบบจำกัดควรอยู่ที่ไหน

หากองค์กรยอมรับเพียร์เก่าอย่างรู้ตัวในช่วงเวลาจำกัด ข้อยกเว้นควรอยู่ในโปรไฟล์ของเพียร์นั้น พร้อมเจ้าของ วันทบทวน และเส้นทางการย้ายไปยังโปรโตคอลที่รองรับ การเก็บมันไว้นอกเส้นทางส่วนกลางคือเหตุผลทั้งหมดของการเรียกมันว่าจำกัด

ให้เจ้าของเกตเวย์ยืนยันว่าอัลกอริทึมใดที่เพียร์ยังเสนอและอะไรแทนที่มัน แฟล็กฝั่งไคลเอนต์ไม่สามารถซ่อมข้อเสนอที่เซิร์ฟเวอร์ไม่ส่งอีกต่อไปได้ และการย้ายเซิร์ฟเวอร์ที่ไม่มีใครวางแผนไว้จะมีอายุยืนกว่าวิธีแก้ชั่วคราว ใส่วันทบทวนในตั๋วเดียวกับข้อยกเว้น เพื่อให้การผ่อนปรนหมดอายุแทนที่จะกลายเป็นถาวร

ตรวจสอบการเจรจา ไม่ใช่แค่ไอคอนสีเขียว

รวบรวมหลักฐานที่ระบุขั้นตอนมากกว่าอารมณ์ของบทสนทนา คำสั่งด้านล่างเป็นแบบอ่านอย่างเดียว และสองคำสั่งแรกแสดงว่าการกำหนดค่าและเวอร์ชันใดถูกใช้จริง

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

คำสั่งที่สามรายงานไฟล์ที่ไม่ตรงกับแพ็กเกจอีกต่อไป และนั่นคือวิธีที่สคริปต์ห่อที่ถูกลืมประกาศตัว คำสั่งที่สี่แสดงการผ่อนปรนที่โปรไฟล์มีอยู่ เพื่อให้ข้อยกเว้นไม่สามารถแพร่กระจายอย่างเงียบ ๆ ไปยังโปรไฟล์ที่สองผ่านไฟล์ที่คัดลอก รันทั้งสองก่อนและหลังการเปลี่ยนแปลง และเก็บผลลัพธ์ไว้กับโปรไฟล์การเชื่อมต่อแทนที่จะเก็บในหน้าต่างแชท

เก็บเอาต์พุตดีบักไว้นอกตั๋วจนกว่าจะมีคนอ่าน เพราะคู่มือเตือนว่าระดับดีบักสูงสุดจะถ่ายข้อมูลการรับรองความถูกต้องรวมถึงรหัสผ่าน เกณฑ์การยอมรับคือข้อตกลงที่ได้รับอนุญาตและรองรับระหว่างไคลเอนต์กับเกตเวย์ ไม่ใช่รายการเมนูที่ในที่สุดก็เปลี่ยนเป็นสีเขียว หากเพียร์เสนอเพียงอัลกอริทึมที่เสีย ผลลัพธ์ที่ซื่อสัตย์คือข้อยกเว้นที่มีวันสิ้นสุดหรือโปรโตคอลทดแทน และการตัดสินใจนั้นเป็นของใครก็ตามที่เป็นเจ้าของเกตเวย์ การบันทึกการตัดสินใจคือความแตกต่างระหว่างข้อยกเว้นที่จัดการแล้วกับการเปลี่ยนแปลงนโยบายโดยไม่ตั้งใจ