Hærdning af Windows VPN: ret godkendelsen før tunnelen

Din Windows VPN-server beder om et brugernavn og en adgangskode, og den ene dialog skjuler tre uafhængige pligter. Én beviser, hvem personen er, én holder det bevis fra at blive genbrugt af nogen, der overvåger forbindelsen, og én afgør, hvilke adresser de må nå bagefter. De fleste små installationer hærder tunnelen først og lader de to første pligter stå på standardværdierne, hvilket er den forkerte rækkefølge.

Arbejd i den rækkefølge, angriberen arbejder i. Først kommer det, der kan fanges fra forbindelsen. Derefter det, der senere kan afspilles igen med den optagelse. Til sidst det, en autentificeret angriber kan nå, når den først er inde.

Tre pligter, én dialog

Identitet er den del, folk tænker på, og den er kun en tredjedel af problemet. Beviset for identitet skal overleve en observatør, der optager udvekslingen og prøver igen senere. Autorisation er en separat beslutning, som serveren træffer, efter at identiteten er afklaret, og Windows holder den i en anden tjeneste end den, der validerer legitimationsoplysninger.

Når alle tre bor i én mental spand, er det sædvanlige resultat en server, der autentificerer stærkt og derefter tillader brugeren at nå alt. At rette det senere er sværere end at beslutte politikken nu, fordi firewallprofilen, adressepuljen og ruterne på det tidspunkt alle koder den gamle antagelse.

Adskil de tre i dine noter, før du rører en indstilling, og ret dem derefter fra det svageste led og opefter.

Hvorfor MS-CHAPv2 ikke kan bestå en genafspilningstest

Hvis serveren stadig accepterer PPTP med MS-CHAPv2, beskytter tunnelen ikke adgangskoden i nogen meningsfuld forstand. Udfordringen og svaret kan fanges og angribes offline, og i 2012 demonstrerede en offentlig knækningstjeneste gendannelse fra et sådant håndtryk på cirka en dag for en typisk adgangskode. En længere og mere kompleks adgangskode hæver prisen; den fjerner ikke det materiale, angriberen har brug for fra netværket.

Den egenskab, du vil have, er en legitimationsoplysning, der ikke kan afspilles igen. EAP-TLS med klientcertifikater giver hver enhed sin egen identitet og lader dig tilbagekalde præcis én enhed.

Udrulning af certifikater er rigtigt arbejde: en privat CA, en tilbagekaldelsesvej som klienterne kontrollerer, og en fornyelsesplan, der overlever udskiftning af personale. Behandl det arbejde som projektet i stedet for som en forhindring mellem dig og en fungerende tunnel. Budgetter til det, som du ville budgettere til en udskiftning af firewallen. En delt adgangskode er kun billigere indtil den første tilbagekaldelse.

En forudelt nøgle autentificerer parret, ikke personen

L2TP/IPsec med en forudelt nøgle beviser, at to gateways kender den samme hemmelighed. Den siger intet om, hvilket menneske der forbinder, og den kan ikke skelne én medarbejder fra en anden på det lag. Brug en lang tilfældig værdi, langt over de ti tegn, nogle vejledninger foreslår, fordi enhver, der fanger håndtrykket, kan angribe nøglen offline.

Hver klient på den profil deler hemmeligheden, så fjernelse af én person betyder, at den skal fordeles igen til alle, der er tilbage. Behold et separat brugergodkendelsestrin oven på hemmeligheden på maskinniveau, og skift til certifikater, efterhånden som klientbestanden vokser. En forudelt nøgle kombineret med MS-CHAPv2 er to svage lag, og det andet ophæver det første.

Autorisation hører hjemme i Network Policy Server

NPS på Windows afgør, hvem der må forbinde, og det gør den, efter at godkendelsen allerede er lykkedes. Den adskillelse er den mest nyttige hærdningskontrol i produktet, og mange installationer lader den være urørt.

Brug politikbetingelser, der afspejler reelle begrænsninger: gruppemedlemskab, det tidsvindue hvor support er bemandet, og enhedstilstand fra et sundhedstjek. Tilføj en anden faktor, hvor dataene retfærdiggør friktionen, og husk, at politikken evalueres per forbindelsesforsøg, hvilket gør den til en levende kontrol snarere end et dokument.

RADIUS-regnskab giver dig også én registrering af, hvem der forbandt hvornår. Den log er forskellen mellem en gennemgang af en hændelse og et gæt, og den findes, uanset om nogen nogensinde læser den.

Begræns, hvad et vellykket login kan nå

VPN-adapteren bør lande i en firewallprofil, der tillader de tjenester, dens rolle har brug for, i stedet for hele undernettet. Routingspørgsmålet er adskilt fra filtrering. En fuld tunnel beskytter klientenheden og sender hver byte gennem din uplink, mens en opdelt tunnel holder lokal trafik lokal og udsætter enheden for, hvilket netværk den nu end er på.

Ingen af valgene er en sikkerhedsstandard. Begge skal skrives ned ved siden af den firewallprofil, de forudsætter.

Verificer fejlvejene

Test, hvad der bør gå i stykker: en forkert adgangskode, et udløbet certifikat, en tilbagekaldt enhed, en bruger uden for gruppen. Hver bør fejle på et forskelligt punkt, og loggen bør sige, hvilken det var. Kør sættet mod en testkonto først, og gentag det derefter for en rigtig bruger. En afvisning, der havner i hændelsesloggen uden grund, er værd at rette længe før, du har brug for registreringen.

Bekræft derefter, hvilke porte der er offentliggjort og hvorfor. PPTP kræver TCP 1723 og GRE som en IP-protokol i stedet for en port, IKEv2 kræver UDP 500 og 4500, og L2TP kræver UDP 1701 plus IPsec. At afsløre en administrationsgrænseflade, så en klient kan forbinde, er ikke en reparation, det er en anden hændelse, der venter på at blive opdaget.

Beslut til sidst, hvad serveren registrerer og hvor længe. Et endepunkt uden godkendelseshistorik kan ikke besvare det første spørgsmål efter en hændelse, nemlig om forsøget nogensinde var autoriseret.