Ataka-egiaztatzaileak irekita dio? Zergatik Minecraft jokalariek ezin duten oraindik sartu

Norbaitek ataka-egiaztapen bat exekutatzen du, irekita hitza ikusi eta zerbitzaria konpondutzat jotzen du. Emaitza horrek benetan esan nahi duena estu da: egiaztatzailearen kokapenetik, une horretan, TCP konexio bat onartu zen helbide eta ataka horretara. Ez du ezer esaten Minecraft protokoloaren eskuko konpresioaz, kontuaren autentifikazioaz edo zerbitzariak jokalaria mundu batera onartu zuen ala ez.

Lau geruza desberdin dira, eta horietako edozeinetan huts egiteak jokalariaren esaldi bera sortzen du: ez zuen funtzionatu.

Sonda batek ikus dezakeena baino ez du probatzen

TCP konexio bat osatzen da bi aldeek hiru bideko eskuko konpresioa amaitzen dutenean, jokoak dakien guztiaren azpitik dagoena. Sondak jakinarazten du entzule bat existitu zela eta bere sare-kokapenetik erantzun zuela. Ezin dizu esan entzulea jokoa denik, edozein prozesuk ataka bat hartu eta konexioak onar ditzakeelako.

Kokapenak emaitza beste balio du. Internet publikoan dagoen egiaztatzaile batek sare batetik bide bat probatzen du. Operadoreak sare beraren barrutik exekutatzen duen egiaztatzaileak erabat beste bide bat probatzen du, eta hango emaitza positiboak ia ezer ez du esaten urrutiko jokalari batek bizi duenaz. Bi hornitzaileren bi egiaztatzaile ezberdin desados egon daitezke zure zerbitzariarekin zerikusirik ez duten arrazoiengatik.

Denborak ere badu garrantzia. Sondaren emaitzak exekutatu zen unea deskribatzen du, eta helbide dinamikoa edo birbidaltze-arau aldatua dituen etxeko konexio batek benetako erantzuna minutu batzuk geroago mugi dezake. Idatzi helbide publikoa, ataka, helbide-familia eta ordua epaiarekin batera, bestela behaketa ez da errepikagarria. Errepikatu egiaztapena benetan beste sare batetik, eta ez konexio bereko telefono batetik.

Lau geruza socket baten eta jokalari baten artean

Imajinatu konektatzen den bezero batek benetan egiten duen sekuentzia. Lehenik helbidea ebazten du, gero argitaratutako atakara TCP konexio bat irekitzen du, gero jokoaren beraren protokoloa hitz egiten du negoziatzeko eta autentifikatzeko, eta azkenik zerbitzariak erabakitzen du identitate hori mundura sar daitekeen. Geruza bakoitzak bere hutsegite-sinadura du, eta lehenengoa soilik da ataka-egiaztatzaile batentzat ikusgai.

Java Editionen ataka lehenetsia 25565 da, baina operadoreak kanpoko ataka desberdin bat argitaratu eta barrurantz birbidali dezake, beraz jokalariak idazten duen zenbakia ez da nahitaez zerbitzariak ikusten duen zenbakia. Kanpoko ataka okerrean zuzendutako egiaztatzaileak itxita jakinarazten du zerbitzaria erabat osasuntsu dagoen bitartean, eta hori da eremu oso honetan ohikoen den alarme faltsua.

Izendapenek atakaren gainean beste urrats bat gehitzen dute. Jokalariak ostalari-izen bat idazten badu, ebazpenak argitaratutako helbidea itzuli behar du, eta sarearen barruko makina batean pribatu bat itzul dezake horren ordez. Hori ez da suebakiaren hutsegitea eta ataken birbidaltze-kantitateak ez du hori aldatuko.

Zergatik barruko jokalariak beste bide bat hartzen duen

LAN berean edo LAN horretara iristen den VPN batean dagoen jokalari bat helbide publikora barrutik iristen saiatzen da. Eskaera routerraren kanpoko helbidera doa eta routerrak barrurantz itzuli behar du, hairpinning edo NAT isla deitzen zaion antolamendua. Horrek funtziona dezan, aurrerako itzulpenak eta itzulera-bideak bat etorri behar dute, eta etxeko router askok ez dute batere implementatzen.

Horregatik sartzen da kanpoko gonbidatua eta zerbitzariaren ondoan eseritako pertsonak ezin du. Kanpoko bidea benetan ondo dago; barneko saihesbidea da huts egiten duena, eta jokalariaren pantailatik zerbitzariaren arazo bat bezala ikusten da. Zerbitzariaren beraren erregistroak erabakitzen du bietako zein gertatu zen, sekula itzuli ez zen konexio bat ez baita inoiz iristen.

Bi konponketa zintzo eta ohitura txar bat daude. Aukera onak barneko jokalariek helbide pribatua edo split-DNS izen bat erabiltzea dira, barrutik helbide pribatura ebazten dena, edo routerrean isla gaitzea funtzioa badago eta behar bezala jokatzen badu. Ohitura txarra ataka gehiago irekitzea edo ostalariaren suebakia desgaitzea da, routerrak inoiz egin ez zuen itzulpen batean ezin baitu eragin.

Netgate-ren NAT islari buruzko dokumentazioak kanpokoen eta barnekoen arteko bereizketa eta split-DNS alternatiba zehaztasun handiagoz deskribatzen ditu. Irakurri mekanismoaren deskribapen gisa, eta ez VPN hornitzaile edo router jakin batek loopback aldaera guztiak onartzen dituen promesa gisa.

Bildu frogak ikuspegi bakoitzetik

Proba bakoitzerako, idatzi nork exekutatu zuen, nondik, zer ordutan, zein helbideren eta atakaren aurka, eta zer erregistratu zuen zerbitzariak. Zerbitzariaren kontsolan arrazoi argia duen joko-ukatze bat inoiz iritsi ez zen konexio batetik desberdina den aurkikuntza da, eta biek kontrako norabideetan eramaten dute.

Baimendutako urrutiko jokalariek sartzen badira eta tokiko jokalari batek ezin badu, tokiko bidea da geratzen den galdera eta bere ikerketa merezi du: zein helbide erabili zuen bezeroak, zer egin zuen routerrak itzulpenarekin, eta zerbitzariak konexio-saiakera oro erregistratu zuen. Eman hiru datu horiek sarea duenari, atakak ausaz berriro ireki beharrean.