Windows-VPN-verharding: herstel egtheid voor die tonnel

Jou Windows-VPN-bediener vra om 'n gebruikersnaam en 'n wagwoord, en daardie enkele dialoogkassie verberg drie onverwante pligte. Een bewys wie die persoon is, een keer dat 'n iemand wat die draad dophou daardie bewys hergebruik, en een besluit watter adresse hulle daarna mag aanraak. Die meeste klein ontplooiings versterk eers die tonnel en laat die eerste twee pligte op hul verstekwaardes, wat die verkeerde volgorde is.

Werk in die volgorde waarin die aanvaller werk. Eers kom wat van die draad af gevang kan word. Dan wat later met daardie opname hergebruik kan word. Laastens, wat 'n geauthentiseerde aanvaller kan bereik sodra hy binne is.

Drie pligte, een dialoogkassie

Identiteit is die deel waaraan mense dink, en dit is net 'n derde van die probleem. Bewys van identiteit moet 'n waarnemer oorleef wat die uitruiling opneem en later weer probeer. Magtiging is 'n aparte besluit wat die bediener neem nadat identiteit vasgestel is, en Windows hou dit in 'n ander diens as die een wat geloofsbriewe valideer.

Wanneer al drie in een verstandelike emmer woon, is die gewone uitkoms 'n bediener wat sterk authentiseer en dan die gebruiker toelaat om alles te bereik. Om dit later reg te maak is moeiliker as om die beleid nou te besluit, want teen daardie tyd kodifiseer die firewall-profiel, die adrespoel en die roetes almal die ou aanname.

Skei die drie in jou notas voordat jy aan 'n instelling raak, en maak hulle dan van die swakste skakel opwaarts reg.

Waarom MS-CHAPv2 nie 'n herspelingstoets kan deurstaan nie

As die bediener steeds PPTP met MS-CHAPv2 aanvaar, beskerm die tonnel die wagwoord nie in enige sinvolle betekenis nie. Die uitdaging en reaksie kan gevang en vanlyn aangeval word, en in 2012 het 'n openbare kraakdiens herwinning uit so 'n handdruk in ongeveer 'n dag vir 'n tipiese wagwoord gedemonstreer. 'n Langer, meer komplekse wagwoord verhoog die koste; dit verwyder nie die materiaal wat 'n aanvaller van die netwerk nodig het nie.

Die eienskap wat jy wil hê is 'n geloofsbrief wat nie herspeel kan word nie. EAP-TLS met kliëntsertifikate gee elke toestel sy eie identiteit en laat jou toe om presies een toestel te herroep.

Sertifikaatontplooiing is egte werk: 'n private CA, 'n herroepingsroete wat kliënte nagaan, en 'n hernuwingsplan wat personeelverloop oorleef. Behandel daardie werk as die projek eerder as as 'n hindernis tussen jou en 'n werkende tonnel. Begroot daarvoor soos jy vir 'n firewall-vervanging sou begroot. 'n Gedeelde wagwoord is net goedkoper tot die eerste herroeping.

'n Vooraf-gedeelde sleutel authentiseer die paar, nie die persoon nie

L2TP/IPsec met 'n vooraf-gedeelde sleutel bewys dat twee gateways dieselfde geheim ken. Dit sê niks oor watter mens konekteer nie, en dit kan op daardie vlak nie een werknemer van 'n ander onderskei nie. Gebruik 'n lang ewekansige waarde, ver verby die tien karakters wat sommige gidse voorstel, want enigiemand wat die handdruk vang, kan die sleutel vanlyn aanval.

Elke kliënt op daardie profiel deel die geheim, so om een persoon te verwyder beteken om dit aan al die ander wat oorbly te herversprei. Hou 'n aparte gebruikersverifikasie-stap bo-op die masjienvlak-geheim, en beweeg na sertifikate soos die kliëntpopulasie groei. 'n Vooraf-gedeelde sleutel gekombineer met MS-CHAPv2 is twee swak lae, en die tweede een maak die eerste ongedaan.

Magtiging hoort in Network Policy Server

NPS op Windows besluit wie mag konekteer, en dit doen dit nadat verifikasie reeds geslaag het. Daardie skeiding is die nuttigste versterkingsbeheer in die produk, en baie ontplooiings laat dit onaangeraak.

Gebruik beleidsvoorwaardes wat werklike beperkings weerspieël: groepslidmaatskap, die tydvenster wanneer ondersteuning beman is, en toesteltoestand van 'n gesondheidskontrole. Voeg 'n tweede faktor by waar die data die wrywing regverdig, en onthou dat die beleid per konekpoging geëvalueer word, wat dit 'n lewende beheer maak eerder as 'n dokument.

RADIUS-rekeningkunde gee jou ook een rekord van wie konekteer het en wanneer. Daardie log is die verskil tussen 'n insidentoorsig en 'n raaiskoot, en dit bestaan of iemand dit ooit lees of nie.

Beperk wat 'n suksesvolle aanmelding kan bereik

Die VPN-adapter moet in 'n firewall-profiel beland wat die dienste toelaat wat sy rol nodig het eerder as die hele subnet. Die roetevraag is apart van filtering. 'n Vol tonnel beskerm die kliënttoestel en stuur elke greintjie deur jou opvoerlyn, terwyl 'n gesplete tonnel plaaslike verkeer plaaslik hou en die toestel blootstel aan watter netwerk dit ook al op is.

Nie een keuse is 'n sekuriteitsverstek nie. Albei moet neergeskryf word langs die firewall-profiel wat hulle veronderstel.

Verifieer die foutroetes

Toets wat behoort te breek: 'n verkeerde wagwoord, 'n vervalste sertifikaat, 'n herroepte toestel, 'n gebruiker buite die groep. Elkeen moet op 'n ander punt misluk, en die log moet sê watter een dit was. Hardloop die stel eers teen 'n toetsrekening, herhaal dit dan vir 'n regte gebruiker. 'n Weiering wat sonder rede in die gebeurtenislog beland, is die moeite werd om reg te maak lank voordat jy die rekord nodig het.

Bevestig dan watter poorte gepubliseer is en waarom. PPTP benodig TCP 1723 en GRE as 'n IP-protokol eerder as 'n poort, IKEv2 benodig UDP 500 en 4500, en L2TP benodig UDP 1701 plus IPsec. Om 'n bestuurskoppelvlak bloot te stel sodat 'n kliënt sal konekteer is nie 'n herstel nie, dit is 'n tweede insident wat wag om ontdek te word.

Laastens, besluit wat die bediener aanteken en vir hoe lank. 'n Eindpunt sonder verifikasiegeskiedenis kan nie die eerste vraag ná 'n insident beantwoord nie, naamlik of die poging ooit gemagtig was.