PPTP/MS-CHAPv2-ni təqaüdə çıxarmaq: köhnə VPN üçün təlimat

Aylıq dəyişdirilən və seyfdə saxlanan iyirmi simvollu parollar MS-CHAPv2 ilə işləyən PPTP serverini müasir VPN-ə çevirmir. Parol zəifliyi mübadilənin özündə olan bir mübadilənin girişidir. Bu təlimat həmin serveri miras alan və ondan asılı olan saytı kəsmədən istifadəçiləri oradan köçürməli olan şəxs üçündür. Addımları ardıcıllıqla yerinə yetirin, çünki hər biri kiminsə girişin nədən qəflətən dəyişdiyini soruşacağı vaxt lazım olacaq bir qeyd qoyur.

Heç nəyə toxunmadan əvvəl yığını yazın

Üç qat PPTP sözündə birləşdirilir və hər biri öz üsulu ilə uğursuz olur. Tunel PPTP-nin özüdür, yəni GRE üstəgəl TCP 1723. Autentifikasiya serverin təklif etdiyi PPP metodudur, burada MS-CHAPv2. Bağlantı qorunması MPPE-dir və onun açarları həmin autentifikasiya mübadiləsindən törədilir. Üçünün də adını çəkmək sonrakı düzəlişin səhv qata düşməsinin qarşısını alır.

Viki səhifəsinə güvənmək əvəzinə canlı konfiqurasiyanı oxuyun və faylı, dinləyicini və autentifikasiyadan keçmiş son sessiyaları qeyd edin.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows uzaq giriş rolunda eyni inventar iki əmrdən gəlir və ikincisi vacibdir, çünki rol birdən çox metodu eyni vaxtda elan edə bilər, sahədəki müştərilər isə yalnız ən zəifini razılaşdırır.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Tunelin bugün əslində nə daşıdığını müəyyənləşdirin

Əvəzedici seçməzdən əvvəl istehlakçıları siyahıya alın: səyyar noutbuklar, filial marşrutlaşdırıcısı, ödəniş terminalı, bir dəstə sahə planşeti. Yalnız bir daxili hosta çatmalı olan istehlakçını köçürmək asandır. Yenidən yazıla bilməyən avadanlığa quraşdırılmış istehlakçı isə müştəri yeniləməsi əvəzinə ara şlüz tələb edə bilər və bu qərar keçidin ortasında deyil, planda olmalıdır.

Sonra soruşun: giriş mübadiləsini müşahidə edə və ya ona təsir edə bilən hücumçu nə əldə edər? MS-CHAPv2 ilə cavab istifadəçinin parolunun oflayn bərpasına imkan verən materialı əhatə edir və buna görə də uzunluq və dövri dəyişdirmə dizaynı düzəltmir: bərpa olunan sirr istifadəçinin onu təkrar istifadə etdiyi hər sistemdə etibarlıdır.

MPPE eyni zəifliyi miras alır, çünki açarları həmin mübadilədən gəlir və o, müasir AEAD şifrəsinin paket-üzrə bütövlük və təkrar davranışını vermir. Təmiz autentifikasiya olunan sessiya yalnız konfiqurasiya edilmiş yoxlamalarla uyğunluğu sübut etmiş olur.

Nə qısa nahar fasiləsi, nə də kiçik istifadəçi sayı kriptoqrafik xassəni siyasət xassəsinə çevirir.

Miqrasiyanı bir texniki xidmət pəncərəsində həyata keçirin

Əvəzedicini qaldırın, bir pilot qrupla sübut edin, sonra köhnə dinləyicini sakit ehtiyat kimi saxlamaq əvəzinə dayandırın. Hər kəsin hələ çata bildiyi ehtiyat miqrasiya deyil və zəif mübadiləni məhz keçməyə heç vaxt əlləşməyən istifadəçilər üçün əlçatan saxlayır.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Firewall yolunu həmin pəncərədə bağlayın. GRE-in yadda saxlanmalı portu yoxdur, ona görə protokolu 47 nömrəsi ilə icazə verən qaydanı gözdən qaçırmaq asandır və demon getdikdən sonra da xidməti əlçatan saxlayır. Sildiyiniz qaydanı, əvvəlki mövqeyini və səbəbini qeyd edin ki, sonrakı dəyişiklik icmalı onu təsadüfən bərpa etməsin.

Etimad məlumatlarını konfiqurasiyadan ayrı həll edin. Müştəri profilini silmək ləğv deyil və başqa yerdə hələ autentifikasiya olunan hesab təqaüdə çıxarılmamışdır.

Əvəzedicinin PPTP-nin gördüyü işləri görməsini yoxlayın

Yoxlama siyahısı «qoşulurmu» deyil. Sual budur: autentifikasiya, ünvan təyini, DNS həlli, marşrut seçimi, yenidən qoşulma davranışı və həmkar yoxlaması əvəzedici altında hələ də qalırmı? Hər birini pilot cihazda, bu sıra ilə sınaqdan keçirin və müşahidə olunan nəticəni gözləntinin yanına yazın.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

İnterfeysdəki ünvan danışıqların tamamlandığını sübut edir. O, uzaq tərəfin gözlədiyiniz marşruta icazə verdiyini sübut etmir və yuxarıdakı sorğu yalnız bu host üçün cavab verir, ötürülən LAN üçün deyil. Həlledici cavabı həlledicinin əlçatanlığını sübut edir, split-DNS siyasətinin düzgün adları ora göndərdiyini deyil.

Ən son yenidən qoşulun, çünki əksər əvəzedicilər məhz burada geriləyir: noutbuku yuxuya salın, şəbəkələri dəyişin və tunelin köhnə marşrutlar qoymadan bərpa olunduğunu təsdiqləyin.

Geri qaytarma, ləğv və arxada qoyduğunuz qeyd

Geri qaytarma xidməti bərpa edir; təhlükəsizliyi bərpa etmir və bu fərq pəncərə açılmazdan əvvəl açıq deyilməlidir. Yeni yol uğursuz olarsa, istifadəçiləri PPTP-ni hamı üçün yenidən aktivləşdirməklə deyil, ikinci müasir son nöqtə və ya müvəqqəti şlüz vasitəsilə qaytarın. Köhnə protokolda bir fövqəladə yol saxlamaq indicə sənədləşdirdiyiniz məruz qalmanı genişləndirir.

Keçiddən sonra PPTP üzərindən autentifikasiya olunan hesabları ləğv edin, saxlanan profillərinin müddətini bitirin və GRE qaydasının heç kimin xatırlamadığı fəlakət bərpası nüsxəsi də daxil olmaqla hər kənar cihazdan getdiyini təsdiqləyin.

Qısa bir qeyd qoyun: tapdığınız protokollar, hər dinləyicinin dayandığı tarix, əvəzedicinin dəstəklədiyi müştəri versiyaları və qərarı yenidən aça bilən sahib. Parol gigiyenası sonra da vacibdir, amma haqq edən protokolda gigiyena kimi, köhnəni saxlamaq üçün arqument kimi deyil.