Windowsi VPN-i kõvendamine: parandage autentimine enne tunnelit

Teie Windowsi VPN-server küsib kasutajanime ja parooli ning see üks dialoog peidab kolm omavahel sidumata ülesannet. Üks tõestab, kes inimene on, üks hoiab ära, et võrku jälgiv inimene seda tõestust uuesti kasutab, ja üks otsustab, millistele aadressidele tohib hiljem pääseda. Enamik väikeseid paigaldusi kõvendab esmalt tunneli ja jätab kaks esimest ülesannet vaikeväärtustele, mis on vale järjekord.

Töötage samas järjekorras nagu ründaja. Kõigepealt see, mida saab võrgust kinni püüda. Seejärel see, mida saab hiljem selle salvestisega uuesti esitada. Lõpuks see, kuhu autenditud ründaja sees olles pääseb.

Kolm ülesannet, üks dialoog

Identiteet on see osa, mille peale inimesed mõtlevad, ja see on ainult kolmandik probleemist. Identiteedi tõestus peab vastu pidama vaatlejale, kes vahetuse salvestab ja hiljem uuesti proovib. Autoriseerimine on eraldi otsus, mille server teeb pärast identiteedi kindlakstegemist, ja Windows hoiab seda muus teenuses kui see, mis volitusi valideerib.

Kui kõik kolm elavad ühes mõttelises ämbris, on tavaline tulemus server, mis autendib tugevalt ja lubab seejärel kasutajal kõigele pääseda. Seda hiljem parandada on raskem kui poliitika praegu otsustada, sest selleks ajaks kodeerivad tulemüüri profiil, aadresside bassein ja marsruudid juba vana eeldust.

Eraldage kolm oma märkmetes enne mis tahes seade puudutamist ja parandage need seejärel nõrgimast lülist ülespoole.

Miks MS-CHAPv2 ei pea vastu kordusesituse testile

Kui server võtab endiselt vastu PPTP-d MS-CHAPv2-ga, ei kaitse tunnel parooli üheski mõttekas tähenduses. Väljakutse ja vastus saab kinni püüda ning neid võrguta rünnata, ja 2012. aastal näitas avalik murdmisteenus taolise käepigistuse põhjal taastamist umbes ühe päevaga tüüpilise parooli puhul. Pikem ja keerukam parool tõstab hinda; see ei eemalda materjali, mida ründaja võrgust vajab.

Omadus, mida soovite, on volitus, mida ei saa uuesti esitada. EAP-TLS kliendisertifikaatidega annab igale seadmele oma identiteedi ja võimaldab tühistada täpselt ühe seadme.

Sertifikaatide juurutamine on tõeline töö: privaatne CA, tühistamise tee, mida kliendid kontrollivad, ja uuendamise plaan, mis peab vastu personali vahetumisele. Käsitlege seda tööd projektina, mitte takistusena teie ja toimiva tunneli vahel. Eelarvestage selle jaoks nii, nagu eelarvestaksite tulemüüri väljavahetamiseks. Jagatud parool on odavam ainult kuni esimese tühistamiseni.

Eeljagatud võti autendib paari, mitte inimest

L2TP/IPsec eeljagatud võtmega tõestab, et kaks lüüsi teavad sama saladust. See ei ütle midagi selle kohta, milline inimene ühendub, ja ei suuda sellel kihil eristada üht töötajat teisest. Kasutage pikka juhuslikku väärtust, kaugele üle kümne märgi, mida mõned juhendid soovitavad, sest igaüks, kes käepigistuse kinni püüab, saab võtit võrguta rünnata.

Iga klient sellel profiilil jagab saladust, seega ühe inimese eemaldamine tähendab selle uuesti jagamist kõigile ülejäänutele. Hoidke masinatasandi saladuse kohal eraldi kasutaja autentimise sammu ja liikuge sertifikaatidele, kui kliendibaas kasvab. Eeljagatud võti koos MS-CHAPv2-ga on kaks nõrka kihti ja teine tühistab esimese.

Autoriseerimine kuulub Network Policy Serverisse

NPS Windowsis otsustab, kes tohib ühenduda, ja teeb seda pärast seda, kui autentimine on juba õnnestunud. See eraldamine on toote kõige kasulikum kõvenduskontroll, ja paljud paigaldused jätavad selle puutumata.

Kasutage poliitikatingimusi, mis peegeldavad tegelikke piiranguid: grupiliikmelisus, ajavahemik, mil tugi on mehitatud, ja seadme olek tervisekontrollist. Lisage teine tegur seal, kus andmed õigustavad hõõrdumist, ja pidage meeles, et poliitikat hinnatakse iga ühenduskatse kohta, mis teeb sellest elava kontrolli, mitte dokumendi.

RADIUS-arvestus annab teile ka ühe kirje selle kohta, kes ja millal ühendus. See logi on vahe intsidendi ülevaatamise ja oletuse vahel ning see on olemas sõltumata sellest, kas keegi seda kunagi loeb.

Piirake, kuhu õnnestunud sisselogimine pääseb

VPN-adapter peaks maanduma tulemüüri profiilis, mis lubab selle rolli jaoks vajalikke teenuseid, mitte kogu alamvõrku. Marsruutimise küsimus on filtreerimisest eraldi. Täistunnel kaitseb kliendiseadet ja suunab iga baidi teie ülesvoolu kaudu, samas kui jaotatud tunnel hoiab kohaliku liikluse kohalikuna ja paljastab seadme ükskõik millisele võrgule, milles see juhtub olema.

Kumbki valik ei ole turvavaikimisi. Mõlemad tuleb kirja panna selle tulemüüri profiili kõrvale, mida need eeldavad.

Kontrollige tõrketeid

Testige, mis peaks katki minema: vale parool, aegunud sertifikaat, tühistatud seade, grupist väljas kasutaja. Igaüks peaks ebaõnnestuma erinevas punktis ja logi peaks ütlema, milline see oli. Käivitage komplekt esmalt testkontol, seejärel korrake seda päris kasutaja puhul. Keeldumine, mis jõuab sündmuste logisse ilma põhjuseta, tasub parandada kaua enne, kui teil seda kirjet vaja läheb.

Seejärel kinnitage, millised pordid on avalikustatud ja miks. PPTP vajab TCP 1723 ja GRE-d IP-protokollina, mitte pordina, IKEv2 vajab UDP 500 ja 4500 ning L2TP vajab UDP 1701 pluss IPsec. Haldusliidese avamine selleks, et klient ühenduks, ei ole parandus, vaid teine intsident, mis ootab avastamist.

Lõpuks otsustage, mida server salvestab ja kui kaua. Lõpp-punkt, millel puudub autentimise ajalugu, ei suuda pärast intsidenti vastata esimesele küsimusele, nimelt kas katse oli kunagi lubatud.