Zpevnění VPN ve Windows: opravte ověřování dřív než tunel

Váš server VPN ve Windows žádá uživatelské jméno a heslo a tento jediný dialog skrývá tři nesouvisející povinnosti. Jedna dokazuje, kdo je člověk, jedna brání tomu, aby tento důkaz zopakoval někdo, kdo sleduje síť, a jedna rozhoduje, na které adresy pak smí dosáhnout. Většina malých instalací nejdřív zpevní tunel a první dvě povinnosti nechá na výchozích hodnotách, což je špatné pořadí.

Pracujte v pořadí, v jakém pracuje útočník. Nejprve to, co lze zachytit ze sítě. Pak to, co lze s tímto záznamem později přehrát. Nakonec to, kam se ověřený útočník dostane, když už je uvnitř.

Tři povinnosti, jeden dialog

Identita je část, o které lidé přemýšlejí, a tvoří jen třetinu problému. Důkaz identity musí přežít pozorovatele, který výměnu zaznamená a později to zkusí znovu. Autorizace je samostatné rozhodnutí, které server učiní poté, co je identita vyřešena, a Windows ji drží v jiné službě než té, která ověřuje přihlašovací údaje.

Když všechny tři žijí v jednom myšlenkovém kyblíku, obvyklým výsledkem je server, který silně ověřuje a pak uživateli dovolí dosáhnout na všechno. Opravit to později je těžší než rozhodnout politiku teď, protože do té doby profil brány firewall, fond adres i trasy už kódují starý předpoklad.

Oddělte tři věci ve svých poznámkách, než se dotknete nastavení, a pak je opravujte od nejslabšího článku nahoru.

Proč MS-CHAPv2 neprojde testem přehrání

Pokud server stále přijímá PPTP s MS-CHAPv2, tunel heslo v žádném smyslu nechrání. Výzvu a odpověď lze zachytit a zaútočit na ně offline a v roce 2012 veřejná služba pro lámání předvedla obnovení z takové výměny zhruba za den u typického hesla. Delší a složitější heslo zvyšuje cenu; neodstraňuje materiál, který útočník ze sítě potřebuje.

Vlastnost, kterou chcete, je údaj, který nelze přehrát. EAP-TLS s klientskými certifikáty dává každému zařízení vlastní identitu a umožňuje odvolat přesně jedno zařízení.

Nasazení certifikátů je skutečná práce: soukromá CA, cesta odvolání, kterou klienti kontrolují, a plán obnovy, který přežije fluktuaci personálu. Berte tuto práci jako projekt, ne jako překážku mezi vámi a funkčním tunelem. Naplánujte na ni rozpočet tak, jako byste plánovali výměnu firewallu. Sdílené heslo je levnější jen do prvního odvolání.

Předsdílený klíč ověřuje dvojici, ne člověka

L2TP/IPsec s předsdíleným klíčem dokazuje, že dvě brány znají stejné tajemství. Neříká nic o tom, který člověk se připojuje, a na této vrstvě nedokáže rozlišit jednoho zaměstnance od druhého. Použijte dlouhou náhodnou hodnotu, výrazně nad deseti znaky, které doporučují některé příručky, protože kdokoli výměnu zachytí, může klíč napadnout offline.

Každý klient v tomto profilu sdílí tajemství, takže odebrání jednoho člověka znamená jeho přerozdělení všem ostatním. Držte samostatný krok ověřování uživatele nad tajemstvím na úrovni stroje a s růstem počtu klientů přejděte na certifikáty. Předsdílený klíč v kombinaci s MS-CHAPv2 jsou dvě slabé vrstvy a druhá ruší první.

Autorizace patří do Network Policy Server

NPS ve Windows rozhoduje, kdo se smí připojit, a činí tak poté, co ověření už proběhlo úspěšně. Toto oddělení je nejužitečnější zpevňovací kontrola v produktu a mnoho instalací jej nechává nedotčené.

Používejte podmínky zásad, které odrážejí skutečná omezení: členství ve skupině, časové okno, kdy je podpora obsazena, a stav zařízení z kontroly stavu. Přidejte druhý faktor tam, kde data odůvodňují tření, a pamatujte, že zásada se vyhodnocuje pro každý pokus o připojení, což z ní činí živou kontrolu, ne dokument.

Účtování RADIUS vám také dává jeden záznam o tom, kdo se připojil a kdy. Tento log je rozdíl mezi přezkumem incidentu a hádáním a existuje bez ohledu na to, zda ho někdy někdo čte.

Omezit, kam se úspěšné přihlášení dostane

Adaptér VPN by měl přistát v profilu brány firewall, který povoluje služby potřebné pro jeho roli, ne celou podsíť. Otázka směrování je oddělená od filtrování. Plný tunel chrání klientské zařízení a žene každý bajt přes váš uplink, zatímco rozdělený tunel nechává místní provoz místním a vystavuje zařízení jakékoli síti, ve které se právě nachází.

Ani jedna volba není bezpečnostní výchozí hodnota. Obě je třeba zapsat vedle profilu brány firewall, který předpokládají.

Ověřte cesty selhání

Otestujte, co by se mělo rozbít: špatné heslo, propadlý certifikát, odvolané zařízení, uživatel mimo skupinu. Každé by mělo selhat v jiném bodě a log by měl říct, které to bylo. Spusťte sadu nejprve na testovacím účtu, pak ji zopakujte pro skutečného uživatele. Odmítnutí, které se bez důvodu objeví v protokolu událostí, stojí za opravu dávno předtím, než ten záznam budete potřebovat.

Pak potvrďte, které porty jsou publikované a proč. PPTP potřebuje TCP 1723 a GRE jako IP protokol, ne port, IKEv2 potřebuje UDP 500 a 4500 a L2TP potřebuje UDP 1701 plus IPsec. Vystavení rozhraní pro správu, aby se klient připojil, není oprava, je to druhý incident čekající na objevení.

Nakonec rozhodněte, co server zaznamenává a na jak dlouho. Koncový bod bez historie ověřování nedokáže po incidentu odpovědět na první otázku, totiž zda byl pokus vůbec autorizován.