Απόσυρση του PPTP/MS-CHAPv2: οδηγός για ένα παλιό VPN

Κωδικοί είκοσι χαρακτήρων, που αλλάζουν κάθε μήνα και φυλάσσονται σε θησαυροφυλάκιο, δεν κάνουν έναν διακομιστή PPTP με MS-CHAPv2 σύγχρονο VPN. Ο κωδικός είναι είσοδος σε μια ανταλλαγή της οποίας η αδυναμία βρίσκεται στην ίδια την ανταλλαγή. Αυτός ο οδηγός απευθύνεται σε όποιον κληρονόμησε αυτόν τον διακομιστή και πρέπει να μετακινήσει τους χρήστες από αυτόν χωρίς να κόψει την εγκατάσταση που εξαρτάται από αυτόν. Εκτελέστε τα βήματα με τη σειρά, γιατί το καθένα αφήνει ένα αρχείο που θα χρειαστείτε όταν κάποιος ρωτήσει γιατί άλλαξε ξαφνικά η πρόσβαση.

Γράψτε τη στοίβα πριν αγγίξετε οτιδήποτε

Τρία επίπεδα συμπτύσσονται στη λέξη PPTP και το καθένα αποτυγχάνει με τον δικό του τρόπο. Το τούνελ είναι το ίδιο το PPTP, GRE συν TCP 1723. Η πιστοποίηση είναι όποια μέθοδος PPP προσφέρει ο διακομιστής, εδώ το MS-CHAPv2. Η προστασία ζεύξης είναι το MPPE, τα κλειδιά του οποίου παράγονται από εκείνη την ανταλλαγή πιστοποίησης. Η ονομασία και των τριών εμποδίζει μια μεταγενέστερη διόρθωση να προσγειωθεί στο λάθος επίπεδο.

Διαβάστε τη ζωντανή διαμόρφωση αντί να εμπιστεύεστε μια σελίδα wiki, και σημειώστε το αρχείο, τον ακροατή και τις τελευταίες συνεδρίες που πιστοποιήθηκαν.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Σε ρόλο απομακρυσμένης πρόσβασης των Windows η ίδια απογραφή προκύπτει από δύο εντολές, και η δεύτερη έχει σημασία γιατί ένας ρόλος μπορεί να διαφημίζει πολλές μεθόδους ταυτόχρονα, ενώ οι πελάτες στο πεδίο διαπραγματεύονται πάντα μόνο την πιο αδύναμη.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Αποφασίστε τι μεταφέρει πραγματικά σήμερα το τούνελ

Καταγράψτε τους καταναλωτές πριν επιλέξετε αντικαταστάτη: φορητοί υπολογιστές σε μετακίνηση, δρομολογητής υποκαταστήματος, τερματικό πληρωμών, ένα σύνολο tablet πεδίου. Ένας καταναλωτής που χρειάζεται να φτάσει μόνο έναν εσωτερικό κεντρικό υπολογιστή μετακινείται εύκολα. Ένας καταναλωτής ενσωματωμένος σε υλικό που δεν μπορείτε να αναπρογραμματίσετε μπορεί να χρειάζεται ενδιάμεση πύλη αντί για αναβάθμιση πελάτη, και αυτή η απόφαση ανήκει στο σχέδιο, όχι στη μέση της μετάβασης.

Μετά ρωτήστε τι θα αποκτούσε ένας επιτιθέμενος που μπορεί να παρατηρήσει ή να επηρεάσει την ανταλλαγή σύνδεσης. Με το MS-CHAPv2 η απάντηση περιλαμβάνει υλικό που επιτρέπει εκτός σύνδεσης ανάκτηση του κωδικού του χρήστη, και γι' αυτό ακριβώς το μήκος και η εναλλαγή δεν επισκευάζουν τον σχεδιασμό: το ανακτημένο μυστικό ισχύει σε κάθε σύστημα όπου ο χρήστης το επαναχρησιμοποίησε.

Το MPPE κληρονομεί την ίδια αδυναμία, αφού τα κλειδιά του προέρχονται από εκείνη την ανταλλαγή, και δεν σας δίνει την ακεραιότητα ανά πακέτο ούτε τη συμπεριφορά επανάληψης ενός σύγχρονου κρυπτογράφου AEAD. Μια συνεδρία που πιστοποιείται καθαρά απέδειξε συμβατότητα με τους διαμορφωμένους ελέγχους και τίποτε άλλο.

Ούτε ένα σύντομο διάλειμμα για μεσημεριανό ούτε ένας μικρός αριθμός χρηστών μετατρέπουν μια κρυπτογραφική ιδιότητα σε πολιτική.

Εκτελέστε τη μετάβαση μέσα σε ένα παράθυρο συντήρησης

Στήστε τον αντικαταστάτη, αποδείξτε τον με μία πιλοτική ομάδα, και μετά σταματήστε τον παλιό ακροατή αντί να τον αφήσετε ως ήσυχη εφεδρική διαδρομή. Μια εφεδρεία που μπορεί ακόμη να προσεγγίσει οποιοσδήποτε δεν είναι μετάβαση, και κρατά την αδύναμη ανταλλαγή διαθέσιμη ακριβώς για εκείνους τους χρήστες που ποτέ δεν μπαίνουν στον κόπο να αλλάξουν.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Κλείστε τη διαδρομή του τείχους προστασίας στο ίδιο παράθυρο. Το GRE δεν έχει θύρα να θυμάστε, οπότε ένας κανόνας που επιτρέπει το πρωτόκολλο 47 με αριθμό περνά εύκολα απαρατήρητος και αφήνει την υπηρεσία προσβάσιμη ακόμη και μετά την εξαφάνιση του δαίμονα. Καταγράψτε τον κανόνα που αφαιρέσατε, την προηγούμενη θέση του και τον λόγο, ώστε μια μεταγενέστερη αναθεώρηση αλλαγών να μην τον επαναφέρει κατά λάθος.

Χειριστείτε τα διαπιστευτήρια χωριστά από τη διαμόρφωση. Η αφαίρεση προφίλ πελάτη δεν είναι ανάκληση, και ένας λογαριασμός που πιστοποιείται ακόμη αλλού δεν έχει αποσυρθεί.

Επαληθεύστε ότι ο αντικαταστάτης κάνει τις δουλειές που έκανε το PPTP

Η λίστα ελέγχου δεν είναι «συνδέεται;». Είναι αν η πιστοποίηση, η απόδοση διευθύνσεων, η επίλυση DNS, η επιλογή διαδρομής, η συμπεριφορά επανασύνδεσης και η επαλήθευση ομοτίμου εξακολουθούν να ισχύουν υπό τον αντικαταστάτη. Δοκιμάστε καθένα σε πιλοτική συσκευή, με αυτή τη σειρά, και γράψτε το παρατηρούμενο αποτέλεσμα δίπλα στην προσδοκία.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Μια διεύθυνση στη διεπαφή αποδεικνύει ότι η διαπραγμάτευση ολοκληρώθηκε. Δεν αποδεικνύει ότι η απομακρυσμένη πλευρά εξουσιοδότησε τη διαδρομή που περιμένετε, και η αναζήτηση παραπάνω απαντά μόνο για αυτόν τον κεντρικό υπολογιστή, όχι για προωθημένο LAN. Μια απάντηση επιλυτή αποδεικνύει προσβασιμότητα επιλυτή, όχι ότι η πολιτική διαχωρισμένου DNS στέλνει εκεί τα σωστά ονόματα.

Ελέγξτε την επανασύνδεση τελευταία, γιατί εκεί υποχωρούν οι περισσότεροι αντικαταστάτες: θέστε ένα φορητό σε αναστολή, αλλάξτε δίκτυα, και επιβεβαιώστε ότι το τούνελ επανιδρύεται χωρίς να αφήνει παλιές διαδρομές.

Επαναφορά, ανάκληση και το αρχείο που αφήνετε πίσω

Η επαναφορά αποκαθιστά την υπηρεσία· δεν αποκαθιστά την ασφάλεια, και η διαφορά πρέπει να ειπωθεί δυνατά πριν ανοίξει το παράθυρο. Αν η νέα διαδρομή αποτύχει, φέρτε τους χρήστες πίσω μέσω δεύτερου σύγχρονου άκρου ή προσωρινής πύλης, όχι με επανενεργοποίηση του PPTP για όλους. Το να κρατάτε μία διαδρομή ανάγκης στο παλιό πρωτόκολλο διευρύνει την έκθεση που μόλις τεκμηριώσατε.

Μετά τη μετάβαση ανακαλέστε τους λογαριασμούς που πιστοποιήθηκαν μέσω PPTP, αφήστε τα αποθηκευμένα προφίλ τους να λήξουν, και επιβεβαιώστε ότι ο κανόνας GRE έχει φύγει από κάθε περιφερειακή συσκευή, μαζί με το αντίγραφο ανάκαμψης από καταστροφή που κανείς δεν θυμάται.

Αφήστε ένα σύντομο αρχείο: τα πρωτόκολλα που βρήκατε, την ημερομηνία που σταμάτησε κάθε ακροατής, τις εκδόσεις πελατών που υποστηρίζει ο αντικαταστάτης και τον ιδιοκτήτη που μπορεί να ανοίξει ξανά την απόφαση. Η υγιεινή κωδικών εξακολουθεί να έχει σημασία μετά, αλλά ως υγιεινή σε πρωτόκολλο που την αξίζει, όχι ως επιχείρημα για να κρατηθεί το παλιό ζωντανό.