Κλειδωμένος από βρόχο επαναλήψεων VPN: σταματήστε πρώτα τον πελάτη

Στις 02:40 ο λογαριασμός κλειδώνει και κανείς δεν βρίσκεται στο πληκτρολόγιο. Ένας πελάτης σε ράφι συνεχίζει να παρουσιάζει τον κωδικό πρόσβασης που αποθήκευσε τον περασμένο μήνα, η πύλη συνεχίζει να τον απορρίπτει, και ο μετρητής πίσω από το κλείδωμα ανεβαίνει χωρίς τη συμμετοχή ανθρώπου. Πρόκειται για βρόχο επαναλήψεων και όχι για επίθεση, και πρέπει να σταματήσει πριν μπορέσει να ανακτηθεί ο λογαριασμός.

Αντιμετωπίστε το ως δύο προβλήματα με σταθερή σειρά. Σταματήστε πρώτα τον αποστολέα και μετά αποκαταστήστε την πρόσβαση, γιατί η αντίστροφη σειρά ξεκινά ξανά τον βρόχο μέσα σε λίγα λεπτά.

Βρείτε ποια διεργασία στέλνει τις αποτυχίες

Ξεκινήστε από τις χρονικές σημάνσεις στο σύστημα ταυτότητας και αντιπαραβάλτε τις με κάθε πελάτη που κατέχει τον λογαριασμό. Ένα διαχειριζόμενο προφίλ, μια υπηρεσία χωρίς επίβλεψη, ένα τηλέφωνο σε συρτάρι και ένα εφεδρικό φορητό υπολογιστή με παλιά διαπιστευτήρια μπορούν όλα να αυθεντικοποιηθούν ως το ίδιο πρόσωπο. Αυτό που αποτυγχάνει κάθε λίγα δευτερόλεπτα είναι ο βρόχος, και αυτό που αποτυγχάνει μία φορά την ημέρα είναι συνήθως ένας άνθρωπος που ξέχασε. Και τα δύο τρέφουν τον ίδιο μετρητή, και εκεί βρίσκεται η παγίδα.

Ξεχωρίστε μια απόρριψη από μια μη προσβάσιμη πύλη όσο κοιτάτε. Ένα χρονικό όριο, μια αποτυχία ανάλυσης ονόματος ή μια κλειστή θύρα κανονικά δεν αυξάνουν μετρητή αποτυχιών, ενώ μια ολοκληρωμένη ανταλλαγή αυθεντικοποίησης που επιστρέφει αποτέλεσμα κακού διαπιστευτηρίου τον αυξάνει. Η ανάμειξη των δύο παράγει τη λάθος διόρθωση, γιατί το ένα απαιτεί να σταματήσει ο πελάτης και το άλλο να επιδιορθωθεί η διαδρομή.

Τρεις συνθήκες που καθορίζουν την αντίδραση

Τρία γεγονότα περιορίζουν αυτό σε μία απάντηση. Πρώτον, αν η εγγραφή δείχνει ρητή απόρριψη ή αποτυχία μεταφοράς. Δεύτερον, αν η ταυτότητα μοιράζεται μεταξύ συσκευών ή υπηρεσιών. Τρίτον, αν ο πελάτης που επαναλαμβάνει είναι ένας που διαχειρίζεστε εσείς ή ένας που ελέγχει κάποιος άλλος.

Μια ρητή απόρριψη από έναν μόνο πελάτη που ελέγχετε σημαίνει σταματήστε αυτόν τον πελάτη, ξεκλειδώστε μέσω της εγκεκριμένης διαδρομής και κάντε μία σκόπιμη σύνδεση. Μια κοινή ταυτότητα σπρώχνει την απάντηση προς την παροχή παρά προς το ξεκλείδωμα, αφού ο βρόχος θα συνεχιστεί τη στιγμή που η άλλη συσκευή θα επανασυνδεθεί. Οι αποτυχίες μεταφοράς δείχνουν στο επίπεδο δικτύου, όπου η προστασία λογαριασμού δεν είναι καθόλου το θέμα.

Κανένας από αυτούς τους κλάδους δεν περιλαμβάνει αποδυνάμωση της προστασίας. Τα κατώφλια κλειδώματος και τα όρια ρυθμού υπάρχουν επειδή το ίδιο σήμα που σας ενοχλεί κατά τη διάρκεια μιας διακοπής είναι το σήμα που επιβραδύνει μια απόπειρα μαντέματος κωδικού.

Σταματήστε τον αποστολέα πριν ξεκλειδώσετε

Σταματήστε τη μονάδα ή τη σύνδεση που συνεχίζει να αυθεντικοποιείται, και σταματήστε την με τρόπο που επιβιώνει από επανεκκίνηση. Η παύση του πελάτη δεν αρκεί όταν η υπηρεσία του είναι ρυθμισμένη να ξεκινά αυτόματα κατά την εκκίνηση.

# which unit is presenting the credential?
journalctl -u openvpn-client@home --since '20 min ago' | grep -i 'auth\|error'

# stop it, and keep it stopped across reboots
sudo systemctl stop openvpn-client@home
sudo systemctl disable openvpn-client@home
systemctl is-active openvpn-client@home

Περιμένετε μερικά λεπτά και επιβεβαιώστε ότι ο μετρητής αποτυχιών σταματά να κινείται. Αυτή η παύση είναι η απόδειξη ότι βρήκατε τη σωστή πηγή. Αν οι αποτυχίες συνεχιστούν, ο βρόχος έρχεται από αλλού και το βήμα ξεκλειδώματος θα πήγαινε χαμένο.

Μόνο τότε χρησιμοποιήστε την τεκμηριωμένη διαδικασία ξεκλειδώματος ή ανάκτησης του παρόχου, και ακολουθήστε την με ακριβώς μία ελεγχόμενη σύνδεση από τη συσκευή που σκοπεύετε να κρατήσετε. Τα ακριβή κατώφλια, οι περίοδοι αναμονής και η διατύπωση της ανάκτησης είναι ειδικά για κάθε υπηρεσία, οπότε διαβάστε τα αντί να μαντέψετε έναν αριθμό.

Αφαιρέστε την αιτία ώστε να μην επιστρέψει

Ενημερώστε το αποθηκευμένο διαπιστευτήριο εκεί όπου ανήκει: στο κλειδοθήριο του λειτουργικού συστήματος, στο προφίλ του πελάτη ή στη διαμόρφωση του λογαριασμού υπηρεσίας. Το να το σβήσετε από ένα σημείο ενώ ένα άλλο κρατά αντίγραφο είναι ο τρόπος με τον οποίο ο βρόχος επιστρέφει μια εβδομάδα αργότερα, συνήθως όταν ένας φορητός που ήταν εκτός σύνδεσης επιστρέφει και αναπαράγει την αποθηκευμένη τιμή του.

Δώστε στην αυτοματοποίηση τη δική της ταυτότητα. Ένας ξεχωριστά παρεχόμενος λογαριασμός με δικό του διαπιστευτήριο και δικά του όρια εμποδίζει μια βλάβη μηχανήματος να κλειδώσει έναν άνθρωπο έξω από το ηλεκτρονικό ταχυδρομείο, και κάνει τη βλάβη αποδιδόμενη στα αρχεία καταγραφής. Προσθέστε μια υποχώρηση στον πελάτη ώστε ένα απορριφθέν διαπιστευτήριο να σταματά τις επαναλήψεις αντί να τις επαναλαμβάνει, και ρυθμίστε συναγερμό σε επαναλαμβανόμενες αποτυχίες αυθεντικοποίησης ώστε ο επόμενος βρόχος να γίνει αντιληπτός σε λεπτά και όχι στις 02:40.

Όταν η αναφορά πηγαίνει στην υποστήριξη, κρατήστε το αναγνωριστικό λογαριασμού, τις χρονικές σημάνσεις και το όνομα του πελάτη. Οι κωδικοί πρόσβασης και το υλικό ανάκτησης δεν ανήκουν ποτέ σε αυτή την εγγραφή.