ike-scan no rep cap resposta d’una passarel·la IPsec en funcionament

La passarel·la atén telèfons i portàtils cada dia, i tot i així ike-scan informa que cap amfitrió ha respost. Aquesta sortida sembla la prova que falta IPsec al dispositiu. Normalment vol dir que el dispositiu ha descartat totes les propostes de la sonda i ha triat no respondre res. El silenci és una resposta, i és la menys informativa que l’eina et pot donar.

Repassa tres preguntes separades: ha arribat el paquet, ha coincidit alguna proposta i ha refusat el parell alguna altra cosa?

Pas 1: llegeix la proposta que envia l’eina

El mode principal comença amb una càrrega SA que llista les transformacions que acceptarà l’iniciador, i ike-scan omple aquesta llista a partir d’un conjunt per defecte compilat. El conjunt per defecte és deliberadament antic: DES i 3DES per al xifratge, MD5 i SHA1 per al resum, grups 1 i 2 per a l’intercanvi de claus, claus precompartides per a l’autenticació. Sense AES, sense SHA-2, sense grup 14. Una passarel·la configurada per a AES-256 amb SHA-256 i modp2048 no comparteix res amb això.

Algunes implementacions responen a una sonda que no coincideix amb una notificació NO-PROPOSAL-CHOSEN. D’altres simplement la descarten, cosa habitual en aparells que tracten els parells desconeguts com a soroll. De qualsevol manera l’escaneig no imprimeix res, i aquest res és idèntic al que sembla un UDP 500 filtrat des de fora, tal com la documentació del projecte ike-scan ho deixa clar sobre el conjunt per defecte.

Pas 2: ofereix una proposta moderna

Substitueix el conjunt per defecte amb --trans. La forma d’atributs pren els números d’atribut IKE directament: 1 per al xifratge, 2 per al resum, 3 per a l’autenticació, 4 per al grup i 14 per a la longitud de clau quan l’algorisme n’accepta una. El que surt és una línia que pots llegir en veu alta en una revisió de canvis.

La forma posicional porta els mateixos valors en ordre i evita els claudàtors, cosa que importa quan l’ordre travessa un intèrpret.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Una proposta per paquet és lent quan enumeres, així que recorre els valors plausibles: xifratge 5, 7/128, 7/192, 7/256; resum 1, 2, 5, 6, 7; grups 1, 2, 5, 14, 15, 19, 20, 21; autenticació 1 per a una clau precompartida i 3 per a signatures RSA. Imprimeix cada ordre abans d’executar-la perquè la transcripció mostri què s’ha ofert i en quin ordre.

Pas 3: interpreta una resposta

Una resposta demostra exactament dues coses: hi ha un responedor IKE abastable en aquella adreça i una proposta oferta era acceptable. No diu res sobre la clau precompartida, la capa L2TP ni si existeix un compte d’usuari. Un escaneig correcte és del tot compatible amb el fracàs de qualsevol etapa posterior.

En una passarel·la que operes, aquesta és la part realment útil. L’escaneig et diu quines propostes encara accepta el dispositiu, i un resultat limitat a transformacions antigues és una troballa sobre la política del dispositiu, no una raó per afeblir el client.

Pas 4: interpreta el silenci

El silenci és una evidència més feble del que sembla. Pot ser que s’hagi rebutjat cada proposta, que UDP 500 i 4500 estiguin filtrats, que l’origen estigui limitat per ritme després d’una ràfega, o que el servei escolti en una adreça diferent de la que has escanejat. Compara el registre IKE de la passarel·la amb un client que ja es connecta amb credencials vàlides abans de concloure res sobre la caixa.

El comportament de ràfega pertany a aquesta llista perquè l’enumeració genera molts paquets en una finestra curta. Una passarel·la que respon als primers intents i després calla està descrivint la seva política anti-DoS, no el seu conjunt de propostes.

Pas 5: registra què has demostrat

Escriu la combinació acceptada al costat de la versió del firmware i compara-la amb les transformacions que els clients que t’importen ofereixen per defecte. La diferència entre aquestes dues llistes és el problema de configuració, i l’escaneig només l’ha fet visible. Si les úniques propostes acceptades són les que no triaries, la correcció pertany a la política de la passarel·la o a un perfil de client, mai a la sonda.

Una sonda que mai no ha respost encara ha respost una cosa: mostra quines propostes aquest dispositiu està disposat a discutir i quines preferiria deixar caure a terra.