SSTP və SSL 3.0: etiket danışılan versiyaya qarşı

İki insan eyni SSTP quraşdırmasına baxıb əks nəticələrə gələ bilər. Biri məhsul sənədlərini oxuyur, SSL hərflərini görür və tunelin illər əvvəl ləğv edilmiş protokolu işlətdiyini güman edir. Digəri müasir əl sıxışmasına işarə edir və sualın bağlandığını deyir. Hər ikisi danışılan versiyadan deyil, etiketlərdən mübahisə edir və bunlardan yalnız biri sübutdur. Etməyə dəyər müqayisə adın vəd etdiyi şeylə xidmətin həqiqətən seçdiyi şey arasındadır.

Eyni suala iki cavab

Etiket arqumentini söyləmək asandır: SSTP təhlükəsiz soket tunel protokolu kimi təsvir edilir, tarixi ad SSL deyir, buna görə bağlantı SSL 3.0 olmalıdır. O, adın həqiqətən həmin xətdən gəlməsi və onu təkrar edənlərin çoxunun heç vaxt əl sıxışmasına baxmaması sayəsində davam edir. Həm də nəticə ehtiyatlı səsləndiyi üçün davam edir, sanki ən pisi fərz etmək təhlükəsiz seçimdir. Ən pisini fərz etmək və faktiki versiyanı ölçmək fərqli məşğuliyyətlərdir və onlardan yalnız biri nəyisə dəyişir.

Sübut arqumenti daha dar sual verir. Bu klient və bu server bu son nöqtədə, bu anda hansı protokol versiyasında razılaşdı? Cavab TLS-i sonlandıran xidmətdən gəlir, hansısa marketinq səhifəsindən və ya oxşar adlı sayta çatmış brauzerdən deyil.

İki arqument nəyi sübut edə bildikləri ilə fərqlənir. Etiket köhnə quraşdırmanı yamaqlanmışdan ayıra bilmir və əl sıxışması eyni hostdakı əlaqəsiz xidmətin nə etdiyini deyə bilmir. İkincisini istifadə edin və birincisini istifadə etməyi dayandırın.

Xidmətin həqiqətən seçdiyi versiyanı oxuyun

Komponentləri adlandırmaqla başlayın: klient tətbiqi, server tətbiqi, TLS son nöqtəsi və onların arasında TLS-i sonlandırıb yenidən quran hər şey. TLS-i sonlandırıb backend ilə sadə HTTP danışan yük balanslayıcısı hansı cihazın siyasətini oxumalı olduğunuzu dəyişir.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Son nöqtəni və vaxtı nəticənin yanında qeyd edin, çünki siyasətin sonradan dəyişməsi tarixsiz müşahidəni faydasız edir. Yoxlamanı sizin üçün vacib olan istifadəçilərlə eyni şəbəkə yolundakı klientdən təkrarlayın, çünki müdaxilə cihazı TLS-i öz parametrləri ilə sonlandıra bilər. İki mövqe uyğun gəlmirsə, vacib olan komponenti tapdınız. Uyğun gəlirsə, şüar yerinə sübutunuz var.

Qeyd sahəsini danışıqlardan ayırın

Bir sahədə köhnə görünən versiya nömrəsi SSL 3.0 sessiyası ilə eyni fakt deyil. RFC 7568 qeyd qatının versiyasını və danışılan protokolu ayrı məsələlər kimi qəbul edir və özündən əmin səhv cavablar məhz bu fərqdən yaranır. Danışılan protokolu oxuyun, sonra şifrəni və yalnız bundan sonra sessiya haqqında nəticə çıxarın.

Həmin sənəd protokolun özü barədə birmənalıdır: SSL 3.0 istifadə olunmamalıdır və onunla danışıq və ya geriyə dönüş qadağandır. Səbəb POODLE hücumunun istifadə etdiyi pozulmuş CBC quruluşudur və bu protokolun xassəsidir, bir tətbiqin konfiqurasiyası deyil.

Buna görə „bu yükün istismarı çətin ola bilər“ SSL 3.0-ı aktiv saxlamaq üçün arqument deyil. Tələb protokolu çıxarmaqdır, bir nümayiş barədə mübahisə qazanmaq deyil.

SSL 3.0-ı müdafiə edə biləcəyiniz siyasətlə istifadədən çıxarın

Windows-da Schannel protokol parametrləri Protocols açarı altında yerləşir və klient və server rolu üçün ayrıca oxunur, buna görə bir istiqaməti düzəldən dəyişiklik digərini toxunulmaz qoya bilər. Mövcud parametrlər və onların yenidən başlatma tələbləri Microsoft tərəfindən sənədləşdirilib və eyni hostdakı üçüncü tərəf TLS kitabxanası onları tamamilə nəzərə almır.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Siyasəti dəstəklənən idarəetmə yolu ilə dəyişdirin, sahib xidmətin konfiqurasiyanı yenidən aldığını təsdiqləyin və təsdiqlənmiş geri qayıtma yolu saxlayın. Başqa mühitdən geniş reyestr skriptini yapışdırmaq bir xidmətin düzəlişinin maşındakı hər TLS klienti üçün fasiləyə çevrilmə üsuludur. Yenidən başlatma əhatəsi burada vacibdir: tətbiq olunmuş görünən parametr hələ də onu yenidən yükləməmiş xidmətin yaddaşında ola bilər.

Hələ də köhnəlmiş versiya tələb edən tərəfdaşa yeniləmə və ya miqrasiya planı lazımdır. Köhnə protokolu səssizcə bərpa edən sənədləşdirilməmiş istisna uyğunluq strategiyası deyil və növbəti auditi keçməyəcək.

Dəyişikliyi yeni bağlantılarla qəbul edin

Siyasət dəyişikliyindən sonra yeni sessiyalarla sınaqdan keçirin, çünki dəyişiklikdən əvvəl qurulmuş bağlantı indi qüvvədə olan konfiqurasiya barədə heç nə sübut etmir. İcazə verilən protokolun uğurlu olduğunu və qadağan olunanın səlahiyyətli yoxlama prosesində uğursuz olduğunu təsdiqləyin, sonra sertifikat kimliyini və etimad yoxlamalarını olduğu kimi buraxın.

Yadda saxlayın ki, əl sıxışması nəyi əhatə etmir. SSTP TLS qatından sonra PPP autentifikasiyası daşıyır, buna görə müasir protokol versiyası hansı istifadəçinin səlahiyyətləndirildiyi və ya sessiyanın hansı resurslara çata biləcəyi barədə heç nə demir. Bunlar ayrı sübutlara malik ayrı nəzarətlərdir.

Nəticəni xidmət, backend, icazə verilən siyasət və müşahidə olunan versiya kimi yazın. Belə qeyd təhlükəsizlik sualına dəqiq cavab verir; bunu nə etiket arqumenti, nə də narahatlıq arqumenti heç vaxt etmir.