تحصين VPN على Windows: أصلح التوثيق قبل النفق

خادم VPN على Windows يطلب اسم مستخدم وكلمة مرور، وذلك المربع الحواري الواحد يخفي ثلاث مهام غير مترابطة. واحدة تثبت هوية الشخص، وواحدة تمنع إعادة استخدام ذلك الإثبات ممن يراقب السلك، وواحدة تقرر العناوين التي يجوز له لمسها بعد ذلك. معظم عمليات النشر الصغيرة تحصّن النفق أولًا وتترك المهمتين الأوليين على إعداداتهما الافتراضية، وهذا هو الترتيب الخاطئ.

اعمل بالترتيب الذي يعمل به المهاجم. أولًا ما يمكن التقاطه من السلك. ثم ما يمكن إعادة استخدامه لاحقًا بذلك التسجيل. وأخيرًا ما يمكن لمهاجم موثَّق أن يصل إليه بعد الدخول.

ثلاث مهام في مربع حوار واحد

الهوية هي الجزء الذي يفكر فيه الناس، وهي ثلث المشكلة فقط. إثبات الهوية يجب أن يصمد أمام مراقب يسجّل التبادل ويعيد المحاولة لاحقًا. والتفويض قرار منفصل يتخذه الخادم بعد حسم الهوية، وWindows يضعه في خدمة مختلفة عن تلك التي تتحقق من بيانات الاعتماد.

عندما تعيش الثلاثة في دلو ذهني واحد، فالنتيجة المعتادة خادم يوثّق بقوة ثم يسمح للمستخدم بالوصول إلى كل شيء. وإصلاح ذلك لاحقًا أصعب من تحديد السياسة الآن، لأن ملف جدار الحماية ومجمع العناوين والمسارات تكون كلها قد كرّست الافتراض القديم بحلول ذلك الوقت.

افصل الثلاثة في ملاحظاتك قبل أن تلمس أي إعداد، ثم أصلحها من الحلقة الأضعف صعودًا.

لماذا لا يستطيع MS-CHAPv2 الصمود أمام اختبار إعادة التشغيل

إذا كان الخادم لا يزال يقبل PPTP مع MS-CHAPv2، فالنفق لا يحمي كلمة المرور بأي معنى جوهري. يمكن التقاط التحدي والاستجابة ومهاجمتهما دون اتصال، وفي 2012 أظهرت خدمة كسر علنية استعادة من مصافحة كهذه في نحو يوم لكلمة مرور نمطية. كلمة مرور أطول وأكثر تعقيدًا ترفع التكلفة؛ لكنها لا تزيل المادة التي يحتاجها المهاجم من الشبكة.

الخاصية التي تريدها هي بيانات اعتماد لا يمكن إعادة تشغيلها. EAP-TLS بشهادات العملاء يمنح كل جهاز هويته الخاصة ويتيح لك إلغاء جهاز واحد بالتحديد.

نشر الشهادات عمل حقيقي: سلطة شهادات خاصة، ومسار إلغاء يتحقق منه العملاء، وخطة تجديد تصمد أمام تقلب الموظفين. تعامل مع ذلك العمل كمشروع لا كعائق بينك وبين نفق عامل. وضع له ميزانية كما تضع ميزانية لاستبدال جدار حماية. كلمة مرور مشتركة أرخص فقط حتى أول إلغاء.

المفتاح المشترك مسبقًا يوثّق الطرفين، لا الشخص

L2TP/IPsec بمفتاح مشترك مسبقًا يثبت أن بوابتين تعرفان السر نفسه. وهو لا يقول شيئًا عن الإنسان الذي يتصل، ولا يستطيع التمييز بين موظف وآخر عند تلك الطبقة. استخدم قيمة عشوائية طويلة، تتجاوز بكثير الأحرف العشرة التي تقترحها بعض الأدلة، لأن أي شخص يلتقط المصافحة يستطيع مهاجمة المفتاح دون اتصال.

كل عميل على ذلك الملف يشترك في السر، لذا فإن إزالة شخص واحد تعني إعادة توزيعه على كل من يبقى. احتفظ بخطوة توثيق مستخدم منفصلة فوق سر مستوى الجهاز، وانتقل إلى الشهادات مع نمو عدد العملاء. مفتاح مشترك مسبقًا مقترن بـ MS-CHAPv2 طبقتان ضعيفتان، والثانية تلغي الأولى.

التفويض مكانه Network Policy Server

NPS على Windows يقرر من يجوز له الاتصال، وهو يفعل ذلك بعد أن ينجح التوثيق بالفعل. ذلك الفصل هو أكثر ضوابط التحصين فائدة في المنتج، وكثير من عمليات النشر تتركه دون مساس.

استخدم شروط سياسة تعكس قيودًا حقيقية: عضوية المجموعة، والنافذة الزمنية التي يكون فيها الدعم موظفًا، وحالة الجهاز من فحص صحي. أضف عاملًا ثانيًا حيث تبرر البيانات ذلك الاحتكاك، وتذكّر أن السياسة تُقيَّم لكل محاولة اتصال، ما يجعلها ضابطًا حيًّا لا مستندًا.

محاسبة RADIUS تمنحك أيضًا سجلًا واحدًا لمن اتصل ومتى. ذلك السجل هو الفرق بين مراجعة حادث وتخمين، وهو موجود سواء قرأه أحد أو لم يقرأه.

حدّد ما يمكن لتسجيل دخول ناجح الوصول إليه

يجب أن يهبط محول VPN في ملف جدار حماية يسمح بالخدمات التي يحتاجها دوره لا بالشبكة الفرعية كلها. مسألة التوجيه منفصلة عن الترشيح. النفق الكامل يحمي جهاز العميل ويدفع كل بايت عبر وصلة الرفع لديك، بينما يحفظ النفق المنقسم حركة المرور المحلية محلية ويعرّض الجهاز لأي شبكة يكون عليها.

لا أحد الخيارين إعداد أمني افتراضي. يحتاج كلاهما إلى تسجيله بجانب ملف جدار الحماية الذي يفترضه.

تحقّق من مسارات الفشل

اختبر ما ينبغي أن ينكسر: كلمة مرور خاطئة، وشهادة منتهية، وجهاز ملغى، ومستخدم خارج المجموعة. يجب أن يفشل كل منها عند نقطة مختلفة، ويجب أن يقول السجل أيها كان. شغّل المجموعة على حساب اختبار أولًا، ثم كرّرها لمستخدم حقيقي. الرفض الذي يصل إلى سجل الأحداث دون سبب يستحق الإصلاح قبل وقت طويل من حاجتك إلى السجل.

ثم تأكد من المنافذ المنشورة ولماذا. PPTP يحتاج TCP 1723 وGRE كبروتوكول IP لا كمنفذ، وIKEv2 يحتاج UDP 500 و4500، وL2TP يحتاج UDP 1701 مع IPsec. كشف واجهة إدارة حتى يتصل عميل ليس إصلاحًا، بل حادث ثانٍ ينتظر الاكتشاف.

أخيرًا، قرّر ماذا يسجّل الخادم ولأي مدة. نقطة نهاية بلا تاريخ توثيق لا تستطيع الإجابة عن السؤال الأول بعد حادث، وهو هل كانت المحاولة مأذونة أصلًا.