Vale VPN-i katse: milline mandaadiklass piiri ületas?
Ebaõnnestunud katse ei pruukinud midagi saata või andis parooli sellele, kes vastas. Sorteerige artefakt enne, kui otsustate, mida tühistada.
Ühendusite vale VPN-iga ja klient teatas veast. Kas sellel oli tähtsust, sõltub sellest, mis läks enne viga üle liini, ja sõna ise ei ütle seda. Mõned kätlemised ei kanna üldse saladust, teised aga annavad parooli kõigile, kes aadressile vastasid. Tehke kindlaks, kumb kahest juhtus, enne kui midagi tühistate.
Peatuge ja hoidke tõendid alles
Säilitage kliendi logi, valitud profiil, sisestatud aadress ja ligikaudne aeg. Kirjutage need üles väljaspool klienti, sest profiili muutmine või uuesti paigaldamine hävitab kirje, mida vajate. Hoiduge edasistest katsetest, kuni lõpp-punkt on kinnitatud teel, mida te kontrollite.
Ärge kunagi postitage redigeerimata profiili ega logi avalikku foorumisse, kui küsite, kas katse oli turvaline. Need dokumendid sisaldavad sageli privaatvõtme teed, sisemist hostinime või tokenit, seega redigeerige enne ja jagage administraatoriga, kellele lõpp-punkt kuulub.
Mis võib piiri ületada
Suurem osa segadusest tuleb sellest, et iga ebaõnnestumist käsitletakse ühte tüüpi sündmusena. Teisele poole võib jõuda neli erinevat asja: avalik sertifikaat, allkiri, mis tõendab võtme kasutamist, parool või ühekordne kood, ja fail, mille valisite ise. Igal neist on oma tagajärg ja oma parandus. Artefakti sorteerimine on samm, mis otsustab kõik järgneva.
Sertifikaadi juhtum on kõige leebem, sest see, mis liigub, on disaini järgi avalik ja selle identifitseerivad väljad on juba nähtavad kõigile, kes ühenduvad. Väljakutse kohal olev allkiri ütleb, et võtit kasutati, mitte et see saadeti. Parool on vastupidine juhtum: igaüks, kes selle kätte saab, võib proovida seda mujal, ja paroolide kontrollimiseks loodud teenus on täpselt selle väärtuse ettenähtud vastuvõtja.
Võtme tõend ei ole võtme üleslaadimine
Kaasaegne TLS hoiab neid kahte ideed meelega lahus. RFC 8446 kirjeldab sõnumit CertificateVerify, kus klient allkirjastab väljakutse oma sertifikaadile vastava privaatvõtmega. Allkiri tõendab valdamist ilma võtit kaasas kandmata, mistõttu sertifikaadiga autenditud katse ei ole automaatselt võtme kompromiteerimine.
Sellel rahustusel on piir, mida tasub nimetada. Tõend näitab, et võti selles vahetuses osales, ja see ei ütle midagi selle kohta, mida masinas olev kohalik programm võis juba lugeda. Samuti ei ütle see midagi selle kohta, kui kaugele tundmatu katse tegelikult jõudis, mistõttu logi on endiselt teooriast tähtsam.
Paroolid järgivad hoopis teist usaldusmudelit. Välise kontrollijaga konfigureeritud koondaja võib esitatud väärtuse edasi anda, seega selle vastuvõtmine on ettenähtud funktsioon ja vale sihtkoht on tegelik paljastus, mitte teoreetiline.
Rekonstrueerige katse logist
Neli fakti rekonstrueerivad katse: aadress, millega tegelikult ühendust võeti, kas serveri identiteet valideeriti, milline autentimismeetod valiti ja kus protsess peatus. Igaüks neist ilmub kliendi logis ja igaüks välistab erineva loo. Viga marsruutide või määratud aadressi kohta ei ütle midagi selle kohta, mis juba liinil oli, sest autentimine võis lõppeda enne, kui tunneli seadistamine ebaõnnestus.
Võtke need faktid kliendi enda logist, mitte mälust. Kitsas filter hoiab väljundi piisavalt lühikese, et seda redigeerida ja jagada:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Ärge asendage hostinime mitte millegagi sellest. Tuttav nimi, praegune DNS-vastus ja tarkvara näidatud sertifikaadi hoiatus kirjeldavad olevikku, mitte varasemat ühendust. Ka parooliküsimus ei ole tõend, et midagi saadeti, sest klient võis ebaõnnestuda enne selle esitamist.
Otsustage ja siis tegutsege
Otsus tuleneb artefaktist, mitte sellest, kui murettekitav viga välja nägi. Lugege nelja rida rekonstrueeritud faktide vastu:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Kui parool jõudis soovimatusse teenusesse, muutke seda konto haldamise kanali kaudu ja kontrollige, kus mujal seda uuesti kasutati. Aegunud ühekordne kood sulgeb selle tee, kuid sellega loodud sessioon mitte, seega paluge identiteediadministraatoril sessioonid üle vaadata. Kui võtmefail tõesti üles laaditi, järgige väljaandja organisatsiooni tühistamisprotsessi, selle asemel et oodata tõendeid kuritarvitamise kohta.
Seejärel kirjutage piiratud tulemus üles: mis saadeti, mis jääb teadmata ja milline mandaat vajab tegevust. Just seda kirjet küsib hilisem ülevaatus ja see on kasulikum kui kumbki kahest mugavast järeldusest.