Nid yw tystysgrif VPN yn diogelu’r rhan LDAP

Mae mewngofnodi VPN sy’n gwirio enw a chyfrinair yn erbyn cyfeiriadur yn cynnwys dau gysylltiad rhwydwaith ar wahân. Mae cysylltiad y defnyddiwr â’r porth yn cael ei ddiogelu gan dystysgrif a chyfluniad protocol y VPN ei hun. Mae cysylltiad y porth â’r cyfeiriadur yn sesiwn wahanol gyda’i gosodiadau TLS ei hun, ei storfa ymddiriedaeth ei hun a’i ddulliau methu ei hun. Nid yw dim am y cyntaf yn gwarantu dim am yr ail.

Yr anghysondeb hwnnw yw’r mecanwaith y tu ôl i fewngofnodi sy’n edrych yn amgryptiedig ac sy’n dal i anfon cyfrinair bond yn glir.

Dau gysylltiad, dwy benderfyniad ymddiriedaeth

Y sesiwn allanol yw’r hyn y mae’r defnyddiwr yn ei weld: tystysgrif wedi’i chlymu i enw gwesteiwr y VPN, wedi’i dilysu gan y cleient, sy’n cario’r cyfnewid dilysu. Mae’r sesiwn fewnol yn perthyn i gleient y cyfeiriadur y tu mewn i’r porth, sy’n agor ei gysylltiad ei hun ac naill ai’n trafod TLS neu ddim. Mae pob ochr yn dilysu’r cymar y mae’n siarad ag ef, gan ddefnyddio deunydd o ffeil gyfluniad wahanol. Mae coes fewnol wedi’i chamgyflunio yn aros yn anweledig o ochr y defnyddiwr, oherwydd bod y goes allanol yn gweithio’n union fel y bwriadwyd.

Dyna pam mae’r methiant yn dawel yn hytrach na’n uchel. Mae porth nad yw byth yn gwirio tystysgrif y cyfeiriadur yn dal i ddilysu defnyddwyr yn gywir; mae’n syml yn eu dilysu dros sianel na wnaeth ei gwirio.

StartTLS a LDAPS, wedi’u dewis yn fwriadol

Mae StartTLS yn agor fel LDAP plaen ac yn uwchraddio yn ei le, fel arfer ar borth 389. Mae LDAPS yn cychwyn TLS gyda’r cysylltiad, fel arfer ar 636. Mae’r ddau’n ddilys ac mae’n rhaid i’r addasydd gyd-fynd â’r hyn y mae’r cyfeiriadur yn ei gynnig. Mae gofyn am StartTLS yn wahanol i’w roi ar brawf a pharhau pan fydd yr uwchraddiad yn methu, a dyna’n union y man lle gall cyfrinair bond ddianc. Ffurfweddwch y modd llym, ac na chaniatewch ffordd gefn heb ei diogelu ar gyfer bond â chyfrinair.

ldapsearch -H ldap://dc1.corp.example -ZZ -x -D "CN=VPN Bind,OU=Service Accounts,DC=corp,DC=example" -W -b "DC=corp,DC=example" "(sAMAccountName=example-user)" dn

Y faner -ZZ yw’r pwynt cyfan: mae’r ymholiad yn methu yn hytrach nag aros yn dawel heb yr uwchraddiad. Mae enwau a chyfrifon yn y llinell honno yn enghreifftiau. Mae dogfennaeth TLS OpenLDAP yn ymdrin â’r gosodiadau ymddiriedaeth y tu ôl i hyn.

Pa storfa ymddiriedaeth mae cleient LDAP yn ei darllen?

Mae llyfrgell cleient OpenLDAP yn darllen ei chyfluniad ymddiriedaeth ei hun, boed o ffeil y system neu o osodiad sy’n benodol i ategyn. Mae cyfarwyddeb CA y VPN yn berthnasol i gymariaid VPN ac nid yw’n dystiolaeth bod y llyfrgell LDAP yn darllen yr un ffeil. Defnyddiwch enw gwesteiwr y cyfeiriadur y mae’r dystysgrif yn ei gwmpasu, ynghyd â’r gadwyn gyhoeddi y mae’r llyfrgell yn ymddiried ynddi. Yn Active Directory, defnyddiwch dystysgrif gwasanaeth cyfeiriadur gyda’r defnydd cywir ar gyfer dilysu gweinydd yn hytrach na rhesymu o enw arddangos.

Rhaid i bob cyrchfan wrth gefn fodloni’r un polisi hunaniaeth. Mae amgylchedd lle mae’r cynradd yn cael ei ddilysu a’r eilaidd ddim yn waeth nag un heb unrhyw wrth gefn, oherwydd dim ond yn ystod methiant y darganfyddir y llwybr gwannach.

Mae’r cyfrif bond yn parhau i fod yn broblem ar wahân

Nid yw diogelu’r cludiant yn lleihau’r hyn y gall cyfrif bond ei wneud. Mae cwmpas chwilio’r cyfeiriadur, awdurdodi grwpiau a breintiau’r cyfrif gwasanaeth yn benderfyniadau ar wahân, ac mae cyfrif bond eang yn parhau’n eang ar ôl galluogi TLS. Defnyddiwch y cyfrif gwasanaeth a’r sail chwilio gulaf y mae’r integreiddiad eu hangen, a chofnodwch y pen draw, modd TLS, perchennog yr ymddiriedaeth a’r broses adnewyddu gyda chyfluniad y VPN.

Pan fydd anghysondeb tystysgrif yn ymddangos, defnyddiwch y dystysgrif neu’r gadwyn gywir. Mae analluogi dilysu yn troi anghysondeb gweladwy yn un anweladwy ac yn gadael yr ail berthynas ymddiriedaeth heb ei phrofi.

Dau gysylltiad, dau berchennog, dwy ddyddiad adnewyddu. Cadw’r rhain ar wahân yn y ddogfennaeth sy’n cadw’r mewngofnodi’n onest.