Помилка слабкого шифру vpnc: політика шлюзу чи виправлення робочого столу?

Два виправлення виглядають однаково швидкими, коли старе з'єднання vpnc не піднімається: передати старий прапорець слабкого шифру або підкласти скрипт-обгортку, який додасть його за вас. Вони не еквівалентні, бо одне змінює політику одного профілю, а друге — поведінку кожної програми, що викликає цей шлях. Перше питання — чи шлюз ще пропонує слабку пропозицію, друге — кому дозволено її прийняти. Усе інше випливає з цих двох відповідей.

Два виправлення з дуже різним впливом

Зміна на рівні профілю торкається одного з'єднання, одного власника й однієї дати завершення. Заміна встановленого двійкового файлу торкається кожного фронтенду на машині, включно з аплетом робочого столу, який колега використовує для зовсім іншого профілю шлюзу. Обгортка також приховує зміну від усіх, хто через пів року зневаджуватиме хост.

Перевірка пакета — перша жертва: файл у /usr/sbin/vpnc, який більше не відповідає своєму пакету, перетворює рутинне оновлення безпеки на розслідування. Далі оновлення або тихо перезаписують обгортку, або відмовляються застосовуватися, залежно від того, як менеджер пакетів поводиться зі зміненими файлами. Жоден із результатів не з'являється в журналі з'єднання, тому підхід з обгорткою залишається привабливим до першого інциденту. Один рядок у профілі значно легше знайти й видалити, ніж двійковий файл, заміну якого ніхто не пам'ятає.

Що насправді робить застарілий перемикач

Посібник vpnc позначає опцію одиночного DES як застарілу на користь налаштування слабкого шифрування і документує окрему опцію, яка взагалі не допускає шифрування трафіку даних. Це різні поступки з різними наслідками. Жодна з них не змушує сучасний шлюз домовлятися про те, чого він більше не пропонує.

Прочитайте стадію збою, перш ніж обирати виправлення. Відхилена пропозиція й відхилений пароль дають схожі повідомлення фронтенду, але цілком різні докази.

Де місце обмеженому винятку

Якщо організація свідомо приймає старого партнера на обмежений строк, виняток належить до профілю цього партнера — з власником, датою перегляду й шляхом міграції на підтримуваний протокол. Тримати його поза глобальним шляхом — у цьому весь сенс назви «обмежений».

Попросіть власника шлюзу підтвердити, які алгоритми партнер ще пропонує і що його замінює. Клієнтський прапорець не може виправити пропозицію, яку сервер більше не надсилає, а міграція сервера, яку ніхто не запланував, переживе тимчасове рішення. Поставте дату перегляду в той самий тікет, що й виняток, щоб поступка завершилася, а не стала постійною.

Перевіряйте узгодження, а не лише зелений значок

Збирайте докази, що визначають стадію, а не настрій діалогу. Команди нижче лише для читання, і перші дві показують, яка конфігурація та версія справді задіяні.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Третя команда повідомляє про файли, які більше не відповідають пакету, і так забута обгортка заявляє про себе. Четверта показує поступки, які несе профіль, щоб виняток не міг тихо поширитися на другий профіль через скопійований файл. Запустіть обидві до і після зміни, а вивід зберігайте разом із профілем з'єднання, а не у вікні чату.

Тримайте вивід налагодження поза тікетами, доки хтось його не прочитає, бо посібник попереджає, що найвищий рівень налагодження вивалює дані автентифікації, включно з паролями. Критерій приймання — санкціонована, підтримувана угода між клієнтом і шлюзом, а не пункт меню, який нарешті стає зеленим. Якщо партнер пропонує лише зламаний алгоритм, чесний результат — виняток із датою завершення або замісний протокол, і це рішення належить тому, хто володіє шлюзом. Запис рішення — це різниця між керованим винятком і випадковою зміною політики.