Διευθύνσεις ιδιωτικότητας IPv6 ή λίστα επιτρεπόμενων RDP: διαλέξτε τον συμβιβασμό

Η απομακρυσμένη επιφάνεια εργασίας λειτουργούσε για έναν μήνα, και μετά η λίστα επιτρεπόμενων σταμάτησε να ταιριάζει χωρίς κανέναν ορατό λόγο. Ο κεντρικός υπολογιστής δεν είχε μετακινηθεί και τίποτα στο τείχος προστασίας δεν είχε τροποποιηθεί. Τα Windows συνεχίζουν να σχηματίζουν προσωρινές διευθύνσεις IPv6 με τυχαία αναγνωριστικά διασύνδεσης και να τις αποσύρουν, οπότε η διεύθυνση προέλευσης που βλέπει ο διακομιστής σε μια δεδομένη ημέρα μπορεί να είναι μία που κανείς δεν έγραψε στον κανόνα. Η απενεργοποίηση αυτής της συμπεριφοράς διορθώνει την αντιστοίχιση και ταυτόχρονα μετατρέπει τον κεντρικό υπολογιστή σε μακρόβιο αναγνωριστικό. Ζυγίστε τις εναλλακτικές πριν δεχτείτε το δεύτερο μισό.

Γιατί ο κανόνας σταμάτησε να ταιριάζει

Το RFC 4941 περιγράφει προσωρινές διευθύνσεις: ο κεντρικός υπολογιστής δημιουργεί πρόσθετες διευθύνσεις με τυχαία αναγνωριστικά και τις αποσύρει, κάτι που εμποδίζει έναν παρατηρητή να συσχετίσει έναν κεντρικό υπολογιστή μεταξύ επισκέψεων. Τα Windows υλοποιούν αυτή τη συμπεριφορά, οπότε η χθεσινή διεύθυνση προέλευσης δεν είναι απαραίτητα η σημερινή. Η προβλέψιμη διεύθυνση εξακολουθεί να υπάρχει στη διασύνδεση· απλώς δεν είναι αυτή που προτιμά μια εξερχόμενη σύνδεση.

Γι' αυτό η αστοχία φαίνεται διαλείπουσα και όχι πλήρης. Ο κανόνας ταιριάζει για λίγο μετά τη δημιουργία της διεύθυνσης, σταματά να ταιριάζει όταν αποσυρθεί και αρχίζει να ταιριάζει ξανά αφού κάποιος τον επεξεργαστεί. Η παρακολούθηση ομαδοποιημένη κατά διεύθυνση προέλευσης και οι έλεγχοι άδειας που βασίζονται σε διεύθυνση κεντρικού υπολογιστή σπάνε με το ίδιο πρόγραμμα. Ένας κανόνας που λειτουργεί αμέσως μετά την επεξεργασία και αποτυγχάνει τρεις εβδομάδες αργότερα είναι συνήθως αυτό, όχι επαναφόρτωση του τείχους προστασίας.

Επιλογή πρώτη: μία σταθερή διεύθυνση, λιγότερη ιδιωτικότητα

Η συνήθης επισκευή απενεργοποιεί και τους δύο μηχανισμούς περιστροφής στον κεντρικό υπολογιστή: netsh interface ipv6 set privacy state=disabled store=persistent και netsh interface ipv6 set global randomizeidentifiers=disabled store=persistent. Προσθέστε store=active αν θέλετε η αλλαγή να τεθεί σε ισχύ χωρίς αναμονή επανεκκίνησης, και δεχτείτε ότι έχετε πλέον κάνει το αναγνωριστικό προβλέψιμο σε όλα τα δίκτυα.

Αυτή η προβλεψιμότητα είναι ακριβώς αυτό που οι επεκτάσεις χτίστηκαν για να αποτρέψουν. Μια διεύθυνση που ακολουθεί τον κεντρικό υπολογιστή από το καφέ στο γραφείο και στο σπίτι είναι ένα βολικό κλειδί φιλτραρίσματος και ένα εξίσου βολικό κλειδί παρακολούθησης, και η δεύτερη ιδιότητα επιβιώνει του δελτίου που ζήτησε την πρώτη.

Επιλογή δεύτερη: να επιτρέπεται ένα πρόθεμα ή ένα όνομα

Το να επιτρέπεται το /64 αντί για την πλήρη διεύθυνση διατηρεί την περιστροφή άθικτη και αντιστοιχεί σε έναν ασθενέστερο αλλά συχνά ειλικρινή ισχυρισμό: αυτό το μηχάνημα βρίσκεται στο οικιακό μου δίκτυο. Παύει να αρκεί τη στιγμή που αυτό το πρόθεμα περιέχει κεντρικούς υπολογιστές που δεν θα δεχόσασταν, κάτι που σε μια οικιακή σύνδεση είναι συνήθως μικρότερο σύνολο απ' όσο υποθέτουν οι άνθρωποι. Ένα όνομα που δημοσιεύεται μέσω δυναμικού DNS είναι ευκολότερο στη λειτουργία, γιατί η εγγραφή ακολουθεί τον κεντρικό υπολογιστή και η πολιτική διαβάζεται ως ταυτότητα και όχι ως εύρος που μεγαλώνει κάθε φορά που προστίθεται μια συσκευή.

Και οι δύο επιλογές χρειάζονται έναν επιλυτή που ο διακομιστής μπορεί να εμπιστευτεί και ένα όνομα που δεν πλαστογραφείται εύκολα, οπότε αντιμετωπίστε τις ως απόφαση πολιτικής για την ταυτότητα και όχι ως καλλωπιστική αλλαγή του κανόνα. Σημειώστε ποιος επιλυτής απαντά σε αυτό το όνομα, γιατί ο κανόνας είναι τόσο αξιόπιστος όσο η εγγραφή πίσω του.

Επιλογή τρίτη: αφήστε το τούνελ να ορίσει τη διεύθυνση

Αν η σύνδεση περνά από ένα VPN που ελέγχετε, ο διακομιστής μπορεί να δίνει τη διεύθυνση από τη δική του δεξαμενή, και η λίστα επιτρεπόμενων αναφέρεται τότε σε μια τιμή που επιλέγει ο διακομιστής και όχι σε μία που προτιμά ο πελάτης. Αυτό λειτουργεί καλά για διαχειριζόμενους πελάτες και άσχημα για οτιδήποτε μπορεί να παρακάμψει ο πελάτης, οπότε επαληθεύστε ποια πλευρά κερδίζει στη δική σας ανάπτυξη.

Η μετακίνηση της απόφασης εντελώς μακριά από τη διεύθυνση, σε πιστοποιητικό πελάτη ή σε πιστοποιημένη πύλη, είναι η επιλογή που κλιμακώνεται, γιατί παύει να εξαρτάται από μια τιμή που το λειτουργικό σύστημα δικαιούται να αλλάξει.

Διαλέξτε με το κόστος παρακολούθησης κατά νου

Γράψτε τις τέσσερις επιλογές απέναντι στην πραγματική απαίτηση και διαλέξτε μία αντί να τις συνδυάσετε. Αν απενεργοποιήσετε την ιδιωτικότητα ούτως ή άλλως, περιορίστε την στον κεντρικό υπολογιστή που τη χρειάζεται, τεκμηριώστε τον λόγο δίπλα στον κανόνα και εξετάστε τη σταθερή-ιδιωτική διευθυνσιοδότηση από το RFC 7217 όπου την υποστηρίζει η πλατφόρμα, αφού κρατά αναγνωριστικό ανά πρόθεμα χωρίς να εκθέτει το παράγωγο του υλικού. Επανενεργοποιήστε τις επεκτάσεις όταν αντικατασταθεί η λίστα επιτρεπόμενων.

Καταγράψτε την αλλαγή δίπλα στον κανόνα που υποστηρίζει. Χωρίς αυτή τη σημείωση ο επόμενος διαχειριστής βρίσκει έναν κεντρικό υπολογιστή με τις επεκτάσεις ιδιωτικότητας απενεργοποιημένες και χωρίς εξήγηση, και τις ενεργοποιεί ξανά κατά τη διάρκεια ενός καθαρισμού.