Ang security fix bang iyon ng OpenVPN ay tungkol ba talaga sa install mo?

Ang payo na i-patch ang client para mag-validate ito ng mga certificate ay masyadong malabo para aksyunan. Maaaring inilalarawan nito ang isang naayos nang software defect, isang lumang build mula sa isang provider, o isang profile na hindi kailanman humingi ng check na iyon. Tatlong magkakaibang pagbabago iyon na may tatlong magkakaibang may-ari. Ang kumilos ayon sa pangungusap na iyon nang hindi alam kung alin ang kaharap mo ay ganoon din ang pagbabago ng gumaganang client nang walang dahilan.

Paghiwalayin ang tatlong pag-aangkin

Ang software defect ay may advisory, mga apektadong version, at naayos na release. Ang build ng provider ay may sariling channel ng distribusyon at sariling tulin ng pag-update. Ang pagkukulang sa profile ay wala sa dalawa, dahil maayos ang executable at ang configuration ay humihingi ng mas kaunti kaysa sa inakala mo. Hangga't hindi pinangalanan ng pag-aangkin ang isa sa tatlong iyon, walang maitetest.

Isulat ang pag-aangkin sa isang pangungusap bago mo ito hanapin. Kung hindi mapangalanan ng pangungusap kung ano ang sira, walang target ang paghahanap at bawat resulta ay mukhang may kaugnayan.

Hanapin ang executable na talagang tumatakbo

Tukuyin kung ano ang nagsisimula ng koneksyon bago tumingin sa anumang version. Ang distribution service, desktop plugin, at vendor application ay maaaring gumamit ng magkaibang executable o engine. Ang version na ini-print ng anumang binary na nagkataong nasa search path ng shell ay hindi imbentaryo ng makina. Basahin ang unit o process na talagang gumawa ng koneksyon.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Ang package query ay nag-uulat kung ano ang inaakalang naka-install at available ng lokal na metadata, at ang cache na iyon ay maaaring luma na, kaya i-refresh muna ito. Wala rin itong sinasabi kung na-load ng tumatakbong service ang binary na in-install limang minuto ang nakalipas. Ihambing ang package record sa process na talagang konektado.

Ebidensya ng package sa halip na impresyon ng version

Ang security maintenance ng mga distribution ay madalas na nag-backport ng mga fix, kaya ang upstream version na mukhang mas luma ay maaaring naglalaman pa rin ng patch. Totoo rin ang kabaligtaran: ang package mula sa hindi pamilyar na repository ay walang awtomatikong pag-aangkin sa kasalukuyang maintenance. Basahin ang support status ng release, hindi ang version number.

Ang pagkakaibang iyon ang pagkakaiba ng tunay na puwang at numero na mukha lang luma. Itala ang repository kung saan nagmula ang package, dahil ang parehong version string ay maaaring dumating sa ibang-ibang channel na may ibang-ibang suporta.

Ang configuration ang kabilang kalahati

Ang maintained executable ay nangangailangan pa rin ng profile na humihingi ng mga check na inaakala mong naroon. Ang trust anchors, ang nilalayong role ng kabilang panig, at ang inaasahang server name ay magkakaugnay ngunit hiwalay na desisyon. Ang role check ay hindi name check, at walang isa ang pumapalit sa isa. Kung tungkol sa configuration ang babala, ang pagwawasto ay pag-aari ng may-ari ng profile.

Huwag mag-install ng arbitrary patch para mabayaran ang isang hindi na-verify na profile, at huwag magdagdag ng directive para ayusin ang tunay na implementasyon defect. Ang parehong pagkakamali ay parang progreso, kaya pareho silang patuloy na nangyayari.

Magpasya gamit ang ebidensya sa record

Ang desisyon ay sumusunod sa itinatag mo. Ang dokumentadong apektadong package ay nangangailangan ng sinusuportahang update, ang hindi sinusuportahang platform ay nangangailangan ng migration path, at ang client ng provider ay nangangailangan ng gabay ng provider na iyon. Ang malabong instruksyon ay nangangailangan ng advisory at apektadong component bago maaplay ang alinman sa mga iyon.

Panatilihing magkasama sa change record ang active na client, buong version, advisory, at may-ari ng profile. Iyon ay mas matibay kaysa sa reference ng tutorial, at iyon ang talagang kakailanganin ng susunod na tao.