Chybný pokus o VPN: která třída přihlašovacích údajů přešla hranici?
Neúspěšný pokus nemusel poslat nic, nebo mohl vydat heslo tomu, kdo odpověděl. Než se rozhodnete, co zrušit, roztřiďte artefakt.
Připojili jste se ke špatné VPN a klient ohlásil selhání. Zda na tom záleželo, závisí na tom, co před selháním přešlo po drátě, a samo slovo vám to neřekne. Některá handshake vůbec nenesou tajemství, jiná předají heslo každému, kdo na adresu odpověděl. Než cokoli zrušíte, zjistěte, který z těchto dvou případů nastal.
Zastavte se a uchovejte důkazy
Uchovejte klientský log, vybraný profil, zadanou adresu a přibližný čas. Zapište je někam mimo klienta, protože úprava profilu nebo přeinstalace zničí záznam, který budete potřebovat. Zastavte každý další pokus, dokud nebude koncový bod potvrzen cestou, kterou ovládáte.
Nikdy nezveřejňujte neupravený profil nebo log na veřejném fóru, když se ptáte, zda byl pokus bezpečný. Tyto dokumenty často obsahují cestu k soukromému klíči, interní název hostitele nebo token, takže nejprve redigujte a sdílejte s administrátorem, kterému koncový bod patří.
Co může překročit hranici
Většina zmatku pochází z toho, že se každé selhání bere jako jeden druh události. Na druhou stranu se mohou dostat čtyři různé věci: veřejný certifikát, podpis dokazující použití klíče, heslo nebo jednorázový kód a soubor, který jste vybrali sami. Každá má svůj důsledek a svou opravu. Roztřídění artefaktu je krok, který rozhoduje o všem dalším.
Případ s certifikátem je nejmírnější, protože to, co cestuje, je veřejné už z principu a jeho identifikační pole jsou už viditelná každému, kdo se připojí. Podpis nad výzvou říká, že klíč byl použit, ne že byl odeslán. Heslo je opačný případ: kdo ho obdrží, může ho zkusit jinde, a služba postavená na ověřování hesel je zamýšleným příjemcem právě této hodnoty.
Důkaz klíče není nahrání klíče
Moderní TLS drží tyto dvě myšlenky záměrně oddělené. RFC 8446 popisuje zprávu CertificateVerify, kde klient podepisuje výzvu soukromým klíčem odpovídajícím jeho certifikátu. Podpis prokazuje držení, aniž by klíč přenášel, a proto pokus ověřený certifikátem není automaticky kompromitací klíče.
Toto uklidnění má hranici, kterou stojí za to pojmenovat. Důkaz ukazuje, že se klíč té výměny účastnil, a neříká nic o tom, co už mohl přečíst místní program ve stroji. Neříká také nic o tom, jak daleko se neznámý pokus skutečně dostal, a proto je log stále důležitější než teorie.
Hesla se řídí zcela jiným modelem důvěry. Koncentrátor nakonfigurovaný s externím ověřovatelem může předávanou hodnotu poslat dál, takže její přijetí je zamýšlená funkce a špatné cílové místo je skutečné vystavení, nikoli teoretické.
Rekonstruujte pokus z logu
Pokus rekonstruují čtyři fakta: adresa, se kterou se skutečně spojil, zda byla ověřena identita serveru, která metoda ověření byla zvolena a kde se proces zastavil. Každé se objevuje v klientském logu a každé vylučuje jiný příběh. Chyba o trasách nebo přidělené adrese neříká nic o tom, co už bylo po drátě, protože ověření mohlo skončit dřív, než selhalo nastavení tunelu.
Vytáhněte tato fakta z vlastního logu klienta, ne z paměti. Úzký filtr udrží výstup dost krátký na redakci a sdílení:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Nenahrazujte tím názvem hostitele. Známé jméno, současná odpověď DNS a varování o certifikátu, které software ukáže, popisují přítomnost, nikoli dřívější spojení. Ani výzva k heslu není důkazem, že bylo něco odesláno, protože klient mohl selhat ještě před jejím odesláním.
Rozhodněte a pak jednejte
Rozhodnutí vyplývá z artefaktu, ne z toho, jak alarmující selhání vypadalo. Přečtěte čtyři řádky proti faktům, která jste rekonstruovali:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Pokud se heslo dostalo k nechtěné službě, změňte ho kanálem pro správu účtu a zkontrolujte, kde jinde bylo použito. Prošlý jednorázový kód tuto cestu zavírá, ale relace s ním vytvořená ne, takže požádejte správce identity o revizi relací. Pokud byl soubor s klíčem skutečně nahrán, postupujte podle procesu odvolání vydávající organizace, místo abyste čekali na důkaz zneužití.
Poté zapište omezený výsledek: co bylo odesláno, co zůstává neznámé a který údaj vyžaduje akci. Právě tento záznam si vyžádá pozdější revize a je užitečnější než kterýkoli z těch dvou pohodlných závěrů.