Lỗi mã hóa yếu của vpnc: chính sách cổng hay sửa máy tính để bàn?

Hai cách sửa có vẻ nhanh như nhau khi một kết nối vpnc cũ không chịu khởi động: truyền cờ mã hóa yếu cũ, hoặc đưa vào một tập lệnh bao bọc tự thêm nó cho bạn. Chúng không tương đương, vì một cách thay đổi chính sách của một hồ sơ và cách kia thay đổi hành vi của mọi chương trình gọi đường dẫn đó. Câu hỏi đầu tiên là cổng còn cung cấp đề xuất yếu hay không, và câu thứ hai là ai được phép chấp nhận nó. Mọi thứ khác đều theo từ hai câu trả lời đó.

Hai cách sửa với phạm vi ảnh hưởng rất khác nhau

Thay đổi ở cấp hồ sơ chạm vào một kết nối, một chủ sở hữu và một ngày hết hạn. Thay thế tệp nhị phân đã cài chạm vào mọi giao diện trên máy, kể cả applet máy tính để bàn mà đồng nghiệp dùng cho một hồ sơ cổng hoàn toàn khác. Lớp bao bọc cũng che giấu thay đổi khỏi bất kỳ ai gỡ lỗi máy chủ sáu tháng sau.

Kiểm tra gói là nạn nhân đầu tiên: một tệp tại /usr/sbin/vpnc không còn khớp với gói của nó biến một bản cập nhật bảo mật thường lệ thành một cuộc điều tra. Sau đó các bản nâng cấp hoặc ghi đè lớp bao bọc một cách âm thầm hoặc từ chối áp dụng, tùy thuộc vào cách trình quản lý gói xử lý các tệp đã sửa. Không kết quả nào xuất hiện trong nhật ký kết nối, đó là lý do cách bao bọc vẫn hấp dẫn cho đến sự cố đầu tiên. Một dòng trong hồ sơ dễ tìm và xóa hơn nhiều so với một tệp nhị phân mà không ai nhớ đã thay thế.

Công tắc lỗi thời thực sự làm gì

Sổ tay vpnc đánh dấu tùy chọn DES đơn là lỗi thời để ủng hộ cài đặt mã hóa yếu, và ghi lại một tùy chọn riêng cho phép hoàn toàn không mã hóa lưu lượng dữ liệu. Đó là những nhượng bộ khác nhau với hậu quả khác nhau. Không cách nào trong số đó khiến một cổng hiện đại thương lượng thứ mà nó không còn cung cấp.

Đọc giai đoạn thất bại trước khi chọn cách sửa. Một đề xuất bị từ chối và một mật khẩu bị từ chối tạo ra thông báo giao diện tương tự nhưng bằng chứng hoàn toàn khác.

Ngoại lệ có phạm vi nên nằm ở đâu

Nếu một tổ chức chấp nhận có ý thức một đối tác cũ trong một thời gian giới hạn, ngoại lệ thuộc về hồ sơ của đối tác đó, với một chủ sở hữu, một ngày xem xét và một đường di chuyển sang giao thức được hỗ trợ. Giữ nó ngoài đường dẫn toàn cục chính là toàn bộ ý nghĩa của việc gọi nó là có phạm vi.

Yêu cầu chủ sở hữu cổng xác nhận đối tác còn đề xuất thuật toán nào và cái gì thay thế nó. Cờ máy khách không thể sửa một đề xuất mà máy chủ không còn gửi, và một cuộc di chuyển máy chủ không ai lên kế hoạch sẽ sống lâu hơn giải pháp tạm thời. Đặt ngày xem xét trong cùng phiếu với ngoại lệ, để nhượng bộ hết hạn thay vì trở thành vĩnh viễn.

Kiểm tra thương lượng, không chỉ biểu tượng xanh

Thu thập bằng chứng xác định giai đoạn thay vì tâm trạng của hộp thoại. Các lệnh bên dưới chỉ để đọc, và hai lệnh đầu cho thấy cấu hình và phiên bản nào thực sự được dùng.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Lệnh thứ ba báo cáo các tệp không còn khớp với gói, và đó là cách một lớp bao bọc bị lãng quên tự thông báo. Lệnh thứ tư cho thấy các nhượng bộ mà hồ sơ mang theo, để một ngoại lệ không thể âm thầm lan sang hồ sơ thứ hai qua một tệp được sao chép. Chạy cả hai trước và sau khi thay đổi, và giữ đầu ra cùng với hồ sơ kết nối thay vì trong cửa sổ trò chuyện.

Giữ đầu ra gỡ lỗi ngoài các phiếu cho đến khi ai đó đã đọc nó, vì sổ tay cảnh báo rằng mức gỡ lỗi cao nhất đổ dữ liệu xác thực bao gồm mật khẩu. Tiêu chí chấp nhận là một thỏa thuận được ủy quyền và hỗ trợ giữa máy khách và cổng, không phải một mục menu cuối cùng chuyển sang màu xanh. Nếu đối tác chỉ cung cấp một thuật toán hỏng, kết quả trung thực là một ngoại lệ có ngày kết thúc hoặc một giao thức thay thế, và quyết định đó thuộc về người sở hữu cổng. Ghi lại quyết định là sự khác biệt giữa một ngoại lệ được quản lý và một thay đổi chính sách vô tình.