VPN saio-hasierako abisuak ez dira intrusio-abisuak: begiratu saioa
Ohiz kanpoko hasierako saioa berrikusteko arrazoia da, ez epaia. Lotu autentifikazio-erregistroa saio batekin eta gero ukitu zuenarekin, intrusioa deitu aurretik.
Herrialde berri batean pizten den VPN abisuak erabakigarria dirudi, eta normalean ez da. Autentifikazioak dio saiakera bat onartu zela; saioak dio zein konexiok eraman zuen; baliabide-erregistroek diote konexio horren barruan zer gertatu zen. Bakoitzak galdera desberdin bati erantzuten dio. Hirurak bateratzen dituen arau batek hogeita hamar tiket sortzen ditu astelehenean eta kasu erreala galdu ostiralean.
Atzerriko helbide bat galdera da, ez erantzuna
Bidaiak, beste herrialde batean irteten duten operadore mugikorrak, enpresa web-proxy bat eta berrargitaratutako carrier-grade NAT igerileku bat itxurazko iturria mugitzen dute, erasotzailea mugitu gabe. Hasierako erregistroak konexioak sarea nondik sartu zuen islatzen du, ez nork zuen gailua.
Alderantzizko hutsegitea okerragoa da isila delako. Erabiltzailearen beraren hiritik erabilitako lapurtutako pasahitzak aurreko hasierako saio guztiekin geografiaren egiaztapenean bat datorren saioa sortzen du.
Geografia epaitzat hartzeak neurtzeko moduko kostua du. Bidaiatzen duten eramangarriek berrikuspen-jario etengabea sortzen dute, berrikusleek irakurri gabe ixtea ikasten dute, eta ohiturak irauten du kasu erreala ilara berean iritsi arte.
Hiru erregistro motak hiru galdera desberdini erantzuten diete
Hasi zabaldutako produktuek benetan igortzen dutenetik, produktu-folietoak igor zezaketela iradokitzen duenetik baino. Autentifikazio-erabakiak aldarrikatutako identitatea, metodoa eta emaitza izendatzen ditu. Saioaren bizi-zikloak konexioa, atebidea eta esleitutako helbidea izendatzen ditu, hasieratik gelditzeraino.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Gelaxka hutsa biltze-hutsunea da, ez absoluzioa. Baliabide-gertaerak inoiz iristen ez badira, irakurketa susmagarri baten eza esan nahi du kanalak ez duela ezer jakinarazteko, eta panel isil batek kanala deskribatzen du, ez sarea. Idatzi zabalkuntzak benetan zein erregistro sortzen dituen haien mende dagoen arau bat agindu aurretik, eta izenda ezazu falta den jario bakoitzaren jabea.
Kontabilitate-xehetasunak saioak egiaztagarri bihurtzen diren tokia dira. RFC 2866 lanean deskribatutako RADIUS kontabilitateak saio-identifikatzaile bati lotutako hasiera, gelditze eta bitarteko eguneratzeak daramatza, beraz hasiera duen eta gelditzerik ez duen saioa misterio bat izan beharrean izenda dezakezun hutsune bat da.
Batu saioari, ez erabiltzaile-izenari
Kontu batek zilegi du hainbat saio aldi berean izatea: eramangarri bat, telefono bat, gau osoan konektatuta utzitako laborategiko makina bat. Erabiltzaile-izen horren gertaera guztiak batzeak hiru gailu istorio bakarrean fusionatzen ditu eta gero konbinazioa konpromiso gisa irakurtzen du. Esleitutako helbideak birziklatu egiten dira ere, beraz saioa amaitu ondoren helbide batekin bat egiten jarraitzen duen batasunak joan den hilabeteko gailua gaur egungo gorabeherara eramaten du. Gorde saio-gakoa helbidearen ondoan eta mugatu bat-etortzea saioak benetan estali zuen denbora-leihoara.
Itzulpenak jatorrizko iturria zerbitzuak ikusi aurretik kentzen duen tokian, erabili muga horretan bizirik dirauen identitatea, hala nola elkarrekiko TLS subjektua edo saio-hasiera bakarreko aldarrikapena. Helbide baten eta pertsona baten arteko bat-eko bat mapatzea asmatzea akats bera da urrats gehiagorekin.
Jaberik gabeko abisua panel bat da
Arau bakoitzak baldintza bat behar du, sortzen dituzten azalpen errugabeak, atera beharreko frogak eta jarduten duen pertsona. Errepikatutako ukatutako eragiketa administratiboa, pasahitz hutsegiteen eztanda eta biltzaile isila hiru gorabehera desberdin dira, hiru erloju desberdinekin.
Jakinarazpena ez da edukitzea, eta banaketa-zerrenda batek ez du ezer mugatzen. Saio bizia aldatzeak hori egin dezakeen osagaia behar du, bai atebideak konexioa botatzen duelako, bai identitate-hornitzaileak saioa baliogabetzen duelako. Jario zaharkituak eta falta diren gelditze-erregistroak arauaren testuan ere sartzen dira, egun batean ezer bidali ez duen biltzaile bat panelatik sare isil baten berdin-berdin agertzen delako. Aldea kanalean bertan baino ez da ikusten.
Egiaztatu biltzeko bidea aste isil batean fidatu aurretik
Froga ezazu kanala hasieratik amaierara arau bakar bat doitu aurretik. Beheko komandoek baieztatzen dute autentifikazio- eta kontabilitate-entzuleak bizirik daudela, probako egiaztagiria arrazoi zuzenagatik ukatzen dela eta saio-gertaerak iristen jarraitzen dutela:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Probako Access-Reject batek frogatzen du eskaerak zerbitzarira iritsi zela eta partekatutako sekretua bat etorri zela, eta horixe da jendeak saltatzen duen zatia. Denbora-muga batek, aldiz, sekretura, entzulera edo haren aurreko iragazki batera seinalatzen du, eta beheko abisu guztiak egiaztagaitzak dira hori konpondu arte.
Erlojuaren egoerak garrantzia du korrelazio-leihoek adostasuna suposatzen dutelako. Minutu batzuk desbideratuta dagoen atebide batek bestela garbia den saio-batasuna ezinezkoa dirudi, eta berrikusleek leihoa zabalduz konpentsatzen dute batasuna bereizteari utzi arte. Egiaztatu desbideratzea araua editatu aurretik.
Ondoren proba kaltegabean jarri arau bat: sortu hasierako saio bat ustekabeko helbide batetik, baieztatu abisua pizten dela, baieztatu erantzuleak saioa eta haren baliabide-gertaerak atera ditzakeela, eta baieztatu tiketak saio-identifikatzailea daramala. Istorio koherentea sortzen duen arauak gainditzen du. Log-lerro pila bat sortzen duen araua oraindik panel bat da. Erregistratu emaitza arauaren ondoan, hurrengo berrikuspena frogak oinarri hartuta has dadin, intuizioa beharrean.