Učvršćivanje VPN-a na Windowsu: popravite provjeru identiteta prije tunela

Vaš Windows VPN poslužitelj traži korisničko ime i lozinku, a taj jedan dijalog skriva tri nepovezane dužnosti. Jedna dokazuje tko je osoba, jedna čuva taj dokaz od ponovne upotrebe nekoga tko promatra promet, a jedna odlučuje kojim adresama smije pristupiti nakon toga. Većina malih instalacija prvo učvrsti tunel, a prve dvije dužnosti ostavi na zadanim vrijednostima, što je pogrešan redoslijed.

Radite redoslijedom kojim radi napadač. Prvo dolazi ono što se može presresti s prometa. Zatim ono što se tim snimkom može ponovno odigrati kasnije. Naposljetku, ono do čega autentificirani napadač može doći kad je već unutra.

Tri dužnosti, jedan dijalog

Identitet je dio o kojem ljudi razmišljaju i on je samo trećina problema. Dokaz identiteta mora izdržati promatrača koji snimi razmjenu i kasnije pokuša ponovno. Autorizacija je zasebna odluka koju poslužitelj donosi nakon što je identitet utvrđen, a Windows je drži u drugoj usluzi od one koja provjerava vjerodajnice.

Kad sve tri žive u jednoj mentalnoj kanti, uobičajen ishod je poslužitelj koji snažno autentificira, a zatim dopušta korisniku da dođe do svega. Popraviti to kasnije teže je nego odlučiti politiku sada, jer dotad profil vatrozida, bazen adresa i rute već kodiraju staru pretpostavku.

Razdvojite tri stvari u svojim bilješkama prije nego dotaknete postavku, zatim ih popravljajte od najslabije karike prema gore.

Zašto MS-CHAPv2 ne može izdržati test ponovnog odigravanja

Ako poslužitelj još prihvaća PPTP s MS-CHAPv2, tunel ne štiti lozinku ni u kojem smislenom smislu. Izazov i odgovor mogu se presresti i napasti izvan mreže, a 2012. javna usluga za razbijanje pokazala je oporavak iz takvog rukovanja u otprilike jednom danu za tipičnu lozinku. Dulja i složenija lozinka podiže cijenu; ne uklanja materijal koji napadač treba iz mreže.

Svojstvo koje želite je vjerodajnica koja se ne može ponovno odigrati. EAP-TLS s klijentskim certifikatima daje svakom uređaju vlastiti identitet i omogućuje vam opoziv točno jednog uređaja.

Uvođenje certifikata pravi je posao: privatni CA, put opoziva koji klijenti provjeravaju i plan obnove koji preživljava fluktuaciju osoblja. Tretirajte taj posao kao projekt, a ne kao prepreku između vas i radnog tunela. Planirajte proračun za njega kao što biste planirali za zamjenu vatrozida. Zajednička lozinka jeftinija je samo do prvog opoziva.

Unaprijed dijeljeni ključ autentificira par, ne osobu

L2TP/IPsec s unaprijed dijeljenim ključem dokazuje da dva pristupnika znaju istu tajnu. Ne govori ništa o tome koji se čovjek spaja i ne može na tom sloju razlikovati jednog zaposlenika od drugoga. Upotrijebite dugačku slučajnu vrijednost, znatno iznad deset znakova koje neki vodiči predlažu, jer svatko tko presretne rukovanje može napasti ključ izvan mreže.

Svaki klijent na tom profilu dijeli tajnu, pa uklanjanje jedne osobe znači njezinu ponovnu raspodjelu svima koji ostaju. Držite zaseban korak autentifikacije korisnika iznad tajne na razini stroja i prijeđite na certifikate kako klijentska populacija raste. Unaprijed dijeljeni ključ u kombinaciji s MS-CHAPv2 dvije su slabe razine, a druga poništava prvu.

Autorizacija pripada u Network Policy Server

NPS na Windowsu odlučuje tko se smije spojiti, i to čini nakon što je autentifikacija već uspjela. Ta podjela najkorisnija je kontrola učvršćivanja u proizvodu, a mnoge je instalacije ostavljaju netaknutom.

Upotrijebite uvjete politike koji odražavaju stvarna ograničenja: članstvo u grupi, vremenski prozor kad je podrška popunjena i stanje uređaja iz provjere zdravlja. Dodajte drugi faktor tamo gdje podaci opravdavaju trenje i zapamtite da se politika procjenjuje za svaki pokušaj spajanja, što je čini živom kontrolom, a ne dokumentom.

RADIUS računovodstvo također vam daje jedan zapis o tome tko se spojio i kada. Taj je dnevnik razlika između pregleda incidenta i nagađanja, i postoji bez obzira čita li ga itko ikada.

Ograničite do čega uspješna prijava može doći

VPN adapter trebao bi sletjeti u profil vatrozida koji dopušta usluge potrebne njegovoj ulozi, a ne cijelu podmrežu. Pitanje usmjeravanja odvojeno je od filtriranja. Puni tunel štiti klijentski uređaj i šalje svaki bajt kroz vaš uplink, dok podijeljeni tunel zadržava lokalni promet lokalnim i izlaže uređaj kojoj god mreži slučajno pripada.

Nijedan izbor nije sigurnosna zadana postavka. Oba treba zapisati uz profil vatrozida koji pretpostavljaju.

Provjerite putove neuspjeha

Testirajte što bi trebalo puknuti: pogrešnu lozinku, istekao certifikat, opozvan uređaj, korisnika izvan grupe. Svaki bi trebao pasti na drugom mjestu, a dnevnik bi trebao reći koji je bio. Pokrenite skup na probnom računu, zatim ga ponovite za stvarnog korisnika. Odbijanje koje bez razloga završi u dnevniku događaja vrijedi popraviti mnogo prije nego što vam zatreba zapis.

Zatim potvrdite koji su portovi objavljeni i zašto. PPTP treba TCP 1723 i GRE kao IP protokol, a ne port, IKEv2 treba UDP 500 i 4500, a L2TP treba UDP 1701 plus IPsec. Izlaganje upravljačkog sučelja da bi se klijent spojio nije popravak, to je drugi incident koji čeka da ga se otkrije.

Naposljetku, odlučite što poslužitelj bilježi i koliko dugo. Krajnja točka bez povijesti autentifikacije ne može odgovoriti na prvo pitanje nakon incidenta, a to je je li pokušaj ikada bio odobren.