Aukeratu telefonoan VPN eskaneatzeko behaketa-puntu egokia
Telefonoaren VPN entzulea, telefonoan dagoen zerbitzu bat eta bideratutako LAN ostalari bat hiru azalera dira. Egin bost urrats hauek eta gelditu norainokoa amaitzen den lekuan.
Telefonoan ostatatutako VPN baten ebaluazio baimenduak isilka huts egiten du eskaneatzailea tunelaren alde okerrean dagoenean. Emaitzak lortzen dituzu, sinesgarriak dirudite, eta inork egin ez zuen galdera bati erantzuten diote. Egin beheko bost egiaztapenak hurrenez hurren. Bakoitzak gelditze-baldintza bat du, eta goiz gelditzea merkeagoa da txostena idatzi ondoren hutsetik berriro probatzea baino.
1. urratsa: izenda ezazu lortu nahi duzun azalera
Hiru azalera ohiko nahasteak dira, gailu bakar batek lotzen dituelako. Kode eta politika desberdinak exekutatzen dituzte, beraz idatzi zein dagoen norainoko barruan ezer hasi aurretik.
| Assessment target | What the path exercises |
|---|---|
| Public VPN listener on the handset | Reachability before login, plus the exposed VPN daemon |
| A service on the handset, by its tunnel address | Access after admission to something hosted locally |
| A LAN host behind the handset gateway | Forwarding, the return path and downstream access policy |
Onartutako norainokoak hiruretatik zein den esaten ez badu, gelditu eta galdetu. Telefonoa rootatzeak ez dio galdera honi erantzuten, eta probatzen ari den gauza aldatzen du, ez behaketa-puntua.
Erregistratu helburuak, baimendutako iturburu-helbideak, denbora-leihoa eta intentsitate-muga aldi berean. Tunelak norainoko horretara eramaten zaitu; ez dizu bideratu dezakeen guztia miatzeko baimenik ematen.
2. urratsa: aukeratu azalera hori ikus dezakeen iturburua
VPNaren barruan eseritako eskaneatzaileak ezin du interneteko behatzaile autentifikatu gabea erreproduzitu. Dagoeneko baditu ibilbideak, kredentzialak eta baimenak kanpoko behatzaileak ez dituenak, beraz bere emaitzek onarpenaren osteko ikuspegia deskribatzen dute, helburuko azalera bera denean ere. Alderantzizko akatsa bezain ohikoa da. VPN atakaren eskaneatze publikoak ia ezer ez du esaten saio-hasieraren atzean dagoen zerbitzu pribatu bati buruz, eta hala dela aurkezteak esposizioa handitzen du norabide batean eta gutxitzen du bestean.
Gelditu lor dezakezun iturburuak azalerarekin bat egiten ez badu. Tunelaren barruko pare batetik egindako ebaluazioa ez da autentifikazio aurreko emaitza gisa aurkeztu behar, eta kanpoko iturburu baimendua behar duen proba ez da isilka barrura mugitu behar paper-lana saihesteko.
3. urratsa: egiaztatu ibilbidea eta erantzun-bidea telefonoaren bidez
Gailuak beste azpisare batera birbidaltzen duenean, eskaneatzaileak baimendutako ibilbide bat behar du eta helburuak funtzionatzen duen itzulera-bide bat. Egiaztatu biak, ping erantzun batek bidea osoa dela esan nahi duela suposatu beharrean.
ip route get 10.20.0.8
tcpdump -ni any host 10.20.0.8Iturburu-NATak aldatu egiten du beheko zerbitzuak ikusten duena. Telefonoak eskaneatzailearen helbidea itzultzen badu, helburuko sarbide-arauak eta erregistroak itzulitako helbideari aplikatzen zaizkio, beraz zu onartzen zaituela dirudien zerbitzuak agian telefonoa onartzen du, ez eskaneatzailea.
Begiratu eskaneatzailearen beraren sarearekiko gainjartzea ere. Telefonoak 192.168.1.0/24 bideratzen badu eta eskaneatzailea modu berean zenbakitutako LAN batean badago, zundek tokiko gailuak jotzen dituzte eta txostenak helburu gisa deskribatzen ditu. Egiaztatu eskaneatzaileak berak erabiliko lukeen ibilbidea pakete bakarra bidali aurretik.
Eskaneatu helburuaren benetako helbidea eta mantendu aplikazioak TLS nortasun eta ostalaritza birtualerako behar duen ostalari-izena. Atezain bat iristeak atezainak erantzuten duela frogatzen du; ez du atzean dagoen zerbitzua probatzen.
4. urratsa: tratatu aurkikuntza suposizioak dituen zunda gisa
Ostalari-aurkikuntza da ebaluazio-emaitzak sarrien okertzen diren tokia. Ethernet bidezko aurkikuntza lokalak ez du bideratutako VPN bat zeharkatzen, beraz LAN lauan funtzionatzen duten zundek ez dute iristen. Blokeatutako aurkikuntza-zundek, orduan, irisgarri eta baimendutako zerbitzu bat absentea dirudite.
Erabaki kontzienteki aurkikuntza saltatu eta helbide ezagunak zuzenean eskaneatuko dituzun, eta esan hori txostenean. Erantzuten duen ataka batek ez du frogatzen VPN autentifikazioak arrakasta izan duenik, eta erantzun iragazi batek ez du frogatzen ezerk entzuten ez duenik. Erritmoa arazo beraren parte da. Eskaneatze azkar batean mugatzen edo paketeak uzten dituen telefonoak telefonoari dagozkion egoera iragaziak sortzen ditu, ez zerbitzuari, beraz murriztu konkurrentzia eta eskaneatu berriro ataka bat itxita gisa erregistratu aurretik.
Gelditze-baldintza hemen interpretazioa da, ez teknika: ezin baduzu esan zer esan nahi duen egoera batek bide honetarako, emaitza eranskin batean dagokio, ez aurkikuntzetan.
5. urratsa: eutsi leihoari, eta gero itxi
Telefonoa zerbitzari txarra da, lo egiteko diseinatuta dagoelako. Bateriaren optimizazioak, doze-ak eta Wi-Fi energia-kudeaketak aplikazioa eten dezakete ebaluazioaren erdian, eta tunelaren birkonexioak helburuak erabiltzen duen helbidea alda dezake. Gertaera horietako bat zeharkatzen duen exekuzio batek baliogabeko emaitza-leihoa du.
Eutsi atezainaren zeregina zeregin baimenduak uzten duen norainokorik txikienean, behatu tunela exekuzioa bizirik dagoen bitartean, eta erregistratu jakinarazten duzun leiho bakoitzaren hasiera eta amaiera. Ebaluazioa amaitzean, kendu aldi baterako sarbidea haren jabearen bidez, mantendu iturburuaren eta bidearen erregistroa, eta babestu irteera beste edozein proba-artefaktu bezala.
Behaketa-puntu errepikagarria behar baduzu eta ez behin-behineko arrakasta, horren alde egin behar duzu argudioa. ostalari-aurkikuntzaren erreferentziak azaltzen du zein zundek suposatzen duten segmentu lokal bat, eta xehetasun horrek bihurtzen du emaitza huts bat baieztapen defendagarri.