Cynnig VPN anghywir: pa ddosbarth tystysgrif a groesodd?
Efallai na anfonodd cynnig aflwyddiannus ddim o gwbl, neu ildiodd gyfrinair i'r sawl a atebodd. Dosbarthwch y dystiolaeth cyn penderfynu beth i'w ddirymu.
Cysylltoch â'r VPN anghywir, a chofnododd y cleient fethiant. Mae pa un a oedd hynny'n bwysig yn dibynnu ar yr hyn a groesodd y wifren cyn y methiant, ac nid yw'r gair ei hun yn dweud hynny wrthych. Nid yw rhai ysgwyd llaw yn cario cyfrinach o gwbl, tra bod eraill yn ildio cyfrinair i bwy bynnag a atebodd y cyfeiriad. Darganfyddwch pa un o'r ddau a ddigwyddodd cyn i chi ddirymu unrhyw beth.
Stopiwch a chadw'r dystiolaeth
Cadwch log y cleient, y proffil a ddewiswyd, y cyfeiriad a deipioch a'r amser bras. Ysgrifennwch nhw rywle y tu allan i'r cleient, oherwydd mae golygu proffil neu ailosod yn dinistrio'r cofnod y bydd ei angen arnoch. Ataliwch bob cynnig pellach nes bod y pen draw wedi'i gadarnhau dros lwybr a reolwch.
Peidiwch byth â phostio proffil neu log heb ei olygu ar fforwm cyhoeddus wrth ofyn a oedd y cynnig yn ddiogel. Mae'r dogfennau hynny'n aml yn cynnwys llwybr allwedd breifat, enw gwesteiwr mewnol neu docyn, felly golygwch yn gyntaf a rhannwch gyda'r gweinyddwr sy'n berchen ar y pen draw.
Beth all groesi'r ffin
Daw'r rhan fwyaf o'r dryswch o drin pob methiant fel un math o ddigwyddiad. Gall pedwar peth gwahanol gyrraedd yr ochr arall: tystysgrif gyhoeddus, llofnod sy'n profi bod allwedd wedi'i defnyddio, cyfrinair neu god unwaith, a ffeil a ddewisoch eich hun. Mae gan bob un ei ganlyniad a'i atgyweiriad ei hun. Dosbarthu'r dystiolaeth yw'r cam sy'n penderfynu popeth wedyn.
Yr achos tystysgrif yw'r mwyaf diniwed, oherwydd mae'r peth sy'n teithio'n gyhoeddus yn ôl ei gynllun ac mae ei feysydd adnabod eisoes yn weladwy i unrhyw un sy'n cysylltu. Mae llofnod dros her yn dweud bod yr allwedd wedi'i defnyddio, nid ei bod wedi'i hanfon. Cyfrinair yw'r gwrthwyneb: gall pwy bynnag sy'n ei dderbyn ei roi ar brawf yn rhywle arall, ac mae gwasanaeth a adeiladwyd i wirio cyfrineiri yn dderbynnydd bwriadedig yr union werth hwnnw.
Nid yw prawf allwedd yn lanlwytho allwedd
Mae TLS modern yn cadw'r ddwy syniad hynny ar wahân yn fwriadol. Mae RFC 8446 yn disgrifio'r neges CertificateVerify, lle mae'r cleient yn llofnodi her â'r allwedd breifat sy'n cyfateb i'w dystysgrif. Mae'r llofnod yn dangos meddiant heb gario'r allwedd, a dyna pam nad yw cynnig a ddilyswyd â thystysgrif yn gyfaddawd allwedd yn awtomatig.
Mae gan y sicrwydd hwnnw derfyn sy'n werth ei nodi. Mae'r prawf yn dangos bod yr allwedd wedi cymryd rhan yn y gyfnewid honno, ac nid yw'n dweud dim am yr hyn y gallai rhaglen leol ar y peiriant fod wedi'i ddarllen yn barod. Nid yw chwaith yn dweud dim am ba mor bell yr aeth cynnig anhysbys mewn gwirionedd, a dyna pam mae'r log yn dal i fod yn bwysicach na'r theori.
Mae cyfrinair yn dilyn model ymddiriedaeth hollol wahanol. Gall canolbwynt a ffurfweddwyd â dilysydd allanol basio'r gwerth a gyflwynwyd ymlaen, felly derbyn yw'r swyddogaeth fwriadedig, ac mae cyrchfan anghywir yn amlygiad gwirioneddol yn hytrach nag un damcaniaethol.
Ailadeiladwch y cynnig o'r log
Mae pedwar ffaith yn ailadeiladu'r cynnig: y cyfeiriad y cysylltwyd ag ef mewn gwirionedd, pa un a ddilyswyd hunaniaeth y gweinydd, pa ddull dilysu a ddewiswyd, a ble y stopiodd y broses. Mae pob un yn ymddangos mewn log cleient, ac mae pob un yn diarddel stori wahanol. Nid yw gwall am lwybrau neu gyfeiriad a neilltuwyd yn dweud dim am yr hyn a oedd eisoes ar y wifren, oherwydd efallai bod dilysu wedi cwblhau cyn i sefydlu'r twnnel fethu.
Tynnwch y ffeithiau hynny o log y cleient ei hun yn hytrach nag o'r cof. Mae hidlydd cul yn cadw'r allbwn yn ddigon byr i'w olygu a'i rannu:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Peidiwch â rhoi enw'r gwesteiwr yn lle unrhyw un o'r rhain. Mae enw cyfarwydd, ateb DNS cyfredol a rhybudd tystysgrif a ddangosir gan y meddalwedd yn disgrifio'r presennol yn hytrach na'r cysylltiad cynharach. Nid yw anogiad cyfrinair yn dystiolaeth bod unrhyw beth wedi'i anfon chwaith, gan y gallai'r cleient fod wedi methu cyn ei gyflwyno.
Penderfynwch, yna gweithredwch
Daw'r penderfyniad o'r dystiolaeth, nid o ba mor frawychus yr oedd y methiant yn edrych. Darllenwch y pedair rhes yn erbyn y ffeithiau a ailadeiladoch:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Os cyrhaeddodd cyfrinair wasanaeth heb ei fwriadu, newidiwch ef drwy sianel reoli'r cyfrif a gwirio ble arall y cafodd ei ailddefnyddio. Mae cod unwaith sydd wedi dod i ben yn cau'r llwybr hwnnw, ond nid yw sesiwn a grewyd ag ef, felly gofynnwch i weinyddwr hunaniaeth adolygu sesiynau. Os lanlwythwyd ffeil allwedd mewn gwirionedd, dilynwch broses ddirymu'r sefydliad sy'n ei chyhoeddi yn hytrach na disgwyl am dystiolaeth o gamddefnydd.
Yna ysgrifennwch y canlyniad cyfyngedig: beth a anfonwyd, beth sy'n parhau'n anhysbys, a pha dystysgrif sydd angen gweithredu. Y cofnod hwnnw yw'r hyn y bydd adolygiad diweddarach yn gofyn amdano, ac mae'n fwy defnyddiol na'r naill na'r llall o'r ddau gasgliad cysurus.