Λάθος απόπειρα VPN: ποια κατηγορία διαπιστευτηρίων πέρασε τα σύνορα;
Μια αποτυχημένη απόπειρα μπορεί να μην έστειλε τίποτα ή να έδωσε κωδικό πρόσβασης σε όποιον απάντησε. Ταξινομήστε το τεκμήριο πριν αποφασίσετε τι θα ανακαλέσετε.
Συνδεθήκατε σε λάθος VPN και ο πελάτης ανέφερε αποτυχία. Το αν αυτό είχε σημασία εξαρτάται από το τι πέρασε από τη γραμμή πριν από την αποτυχία, και η ίδια η λέξη δεν σας το λέει. Κάποιες χειραψίες δεν μεταφέρουν καθόλου μυστικό, ενώ άλλες παραδίδουν κωδικό πρόσβασης σε όποιον απάντησε στη διεύθυνση. Καθορίστε ποια από τις δύο περιπτώσεις συνέβη πριν ανακαλέσετε οτιδήποτε.
Σταματήστε και κρατήστε τα στοιχεία
Διατηρήστε το αρχείο καταγραφής του πελάτη, το επιλεγμένο προφίλ, τη διεύθυνση που πληκτρολογήσατε και την κατά προσέγγιση ώρα. Γράψτε τα κάπου έξω από τον πελάτη, γιατί μια επεξεργασία προφίλ ή μια επανεγκατάσταση καταστρέφει την εγγραφή που θα χρειαστείτε. Αναστείλετε κάθε περαιτέρω απόπειρα μέχρι να επιβεβαιωθεί το τελικό σημείο μέσω διαδρομής που ελέγχετε.
Μην δημοσιεύετε ποτέ ένα προφίλ ή αρχείο καταγραφής χωρίς απόκρυψη σε δημόσιο φόρουμ ενώ ρωτάτε αν η απόπειρα ήταν ασφαλής. Αυτά τα έγγραφα συχνά περιέχουν διαδρομή ιδιωτικού κλειδιού, εσωτερικό όνομα κεντρικού υπολογιστή ή διακριτικό, οπότε αποκρύψτε πρώτα και μοιραστείτε με τον διαχειριστή που κατέχει το τελικό σημείο.
Τι μπορεί να περάσει τα σύνορα
Η περισσότερη σύγχυση προκύπτει από το ότι κάθε αποτυχία αντιμετωπίζεται ως ένα είδος συμβάντος. Τέσσερα διαφορετικά πράγματα μπορούν να φτάσουν στην άλλη πλευρά: ένα δημόσιο πιστοποιητικό, μια υπογραφή που αποδεικνύει ότι χρησιμοποιήθηκε κλειδί, ένας κωδικός πρόσβασης ή κωδικός μίας χρήσης, και ένα αρχείο που επιλέξατε εσείς. Καθένα έχει τη δική του συνέπεια και τη δική του επισκευή. Η ταξινόμηση του τεκμηρίου είναι το βήμα που καθορίζει όλα τα επόμενα.
Η περίπτωση του πιστοποιητικού είναι η πιο ήπια, γιατί αυτό που ταξιδεύει είναι δημόσιο εκ σχεδιασμού και τα πεδία ταυτοποίησής του είναι ήδη ορατά σε όποιον συνδέεται. Μια υπογραφή πάνω σε πρόκληση λέει ότι το κλειδί χρησιμοποιήθηκε, όχι ότι στάλθηκε. Ο κωδικός πρόσβασης είναι η αντίθετη περίπτωση: όποιος τον παραλάβει μπορεί να τον δοκιμάσει αλλού, και μια υπηρεσία φτιαγμένη να επαληθεύει κωδικούς είναι ο προβλεπόμενος αποδέκτης ακριβώς αυτής της τιμής.
Μια απόδειξη κλειδιού δεν είναι ανέβασμα κλειδιού
Το σύγχρονο TLS κρατά τις δύο ιδέες χωριστές σκόπιμα. Το RFC 8446 περιγράφει το μήνυμα CertificateVerify, όπου ο πελάτης υπογράφει μια πρόκληση με το ιδιωτικό κλειδί που ταιριάζει στο πιστοποιητικό του. Η υπογραφή αποδεικνύει κατοχή χωρίς να μεταφέρει το κλειδί, γι' αυτό μια απόπειρα με πιστοποιητικό δεν είναι αυτόματα παραβίαση κλειδιού.
Αυτή η καθησύχαση έχει ένα όριο που αξίζει να ειπωθεί. Η απόδειξη δείχνει ότι το κλειδί συμμετείχε σε εκείνη την ανταλλαγή και δεν λέει τίποτα για το τι μπορεί να έχει ήδη διαβάσει ένα τοπικό πρόγραμμα στο μηχάνημα. Δεν λέει επίσης τίποτα για το πόσο μακριά έφτασε πραγματικά μια άγνωστη απόπειρα, γι' αυτό το αρχείο καταγραφής παραμένει πιο σημαντικό από τη θεωρία.
Οι κωδικοί πρόσβασης ακολουθούν ένα εντελώς διαφορετικό μοντέλο εμπιστοσύνης. Ένας συγκεντρωτής ρυθμισμένος με εξωτερικό επαληθευτή μπορεί να προωθήσει την υποβληθείσα τιμή, οπότε η λήψη της είναι η προβλεπόμενη λειτουργία και ένας λάθος προορισμός είναι πραγματική έκθεση και όχι θεωρητική.
Ανακατασκευάστε την απόπειρα από το αρχείο
Τέσσερα γεγονότα ανακατασκευάζουν την απόπειρα: η διεύθυνση που πράγματι επικοινωνήθηκε, αν επικυρώθηκε η ταυτότητα του διακομιστή, ποια μέθοδος ταυτοποίησης επιλέχθηκε και πού σταμάτησε η διαδικασία. Κάθε ένα εμφανίζεται σε αρχείο καταγραφής του πελάτη, και κάθε ένα αποκλείει διαφορετική εκδοχή. Ένα σφάλμα για διαδρομές ή για εκχωρημένη διεύθυνση δεν λέει τίποτα για το τι ήταν ήδη στη γραμμή, γιατί η ταυτοποίηση μπορεί να είχε ολοκληρωθεί πριν αποτύχει η ρύθμιση της σήραγγας.
Εξαγάγετε αυτά τα γεγονότα από το ίδιο το αρχείο του πελάτη και όχι από τη μνήμη. Ένα στενό φίλτρο κρατά την έξοδο αρκετά σύντομη για απόκρυψη και κοινοποίηση:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Μην αντικαθιστάτε το όνομα κεντρικού υπολογιστή με τίποτα από αυτά. Ένα οικείο όνομα, μια τρέχουσα απάντηση DNS και μια προειδοποίηση πιστοποιητικού που δείχνει το λογισμικό περιγράφουν το παρόν και όχι την προηγούμενη σύνδεση. Ούτε μια προτροπή κωδικού είναι απόδειξη ότι στάλθηκε κάτι, αφού ο πελάτης μπορεί να απέτυχε πριν τον υποβάλει.
Αποφασίστε και μετά δράστε
Η απόφαση προκύπτει από το τεκμήριο, όχι από το πόσο ανησυχητική φάνηκε η αποτυχία. Διαβάστε τις τέσσερις γραμμές απέναντι στα γεγονότα που ανακατασκευάσατε:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Αν ένας κωδικός έφτασε σε ανεπιθύμητη υπηρεσία, αλλάξτε τον μέσω του καναλιού διαχείρισης λογαριασμού και ελέγξτε πού αλλού επαναχρησιμοποιήθηκε. Ένας ληγμένος κωδικός μίας χρήσης κλείνει αυτή τη διαδρομή, αλλά μια συνεδρία που δημιουργήθηκε με αυτόν όχι, γι' αυτό ζητήστε από τον διαχειριστή ταυτοτήτων να ελέγξει τις συνεδρίες. Αν ένα αρχείο κλειδιού ανέβηκε πραγματικά, ακολουθήστε τη διαδικασία ανάκλησης του εκδότη οργανισμού αντί να περιμένετε αποδείξεις κατάχρησης.
Έπειτα γράψτε το περιορισμένο αποτέλεσμα: τι στάλθηκε, τι παραμένει άγνωστο και ποιο διαπιστευτήριο χρειάζεται ενέργεια. Αυτή η εγγραφή είναι αυτό που θα ζητήσει μια μεταγενέστερη εξέταση, και είναι πιο χρήσιμη από οποιοδήποτε από τα δύο βολικά συμπεράσματα.