VPN saio-hasiera filtratu da: zer desblokeatzen duen eta zer ez

VPN pasahitz bat itsasteko gune batean agertzen denean, lehen galdera erabilgarria kontu horrek zer autorizatzeko baimena zuen da, ez zenbat zen sendoa zifratzea. Bi arazo bereizi dira, froga bereiziekin, eta hauek batzeak aldi berean panikoa eta lasaitasun faltsua sortzen ditu. Pasahitz batek tunel bat ireki, gailu bat erregistratu edo atari bat desblokea dezake, saio batean zehar trafikoa babesten duten gakoak beste nonbait eratortzen diren bitartean eta inoiz ez zaizkie saio-hasierarekin batera ematen. Idatzi zer filtratu den bi arazotatik zein duzun erabaki aurretik.

Idatzi zer agertu zen benetan

Lau gertakari desberdin bakartzat salatzen dira. Phishing orri batean idatzitako pasahitza, fitxategi-sistematik kopiatutako gailu-gakoa, konfigurazio-pakete baten barruan argitaratutako tunel-sekretu partekatua eta memoria harrapatu zitzaion martxan dagoen muturreko puntu bat lau agerraldi desberdin dira. Bakoitzak hurrengoari buruz erantzun desberdina sostengatzen du, eta edukitzeko urratsak berehala dibergitzen dira.

Eskatu artefaktua, ez deskribapena: fitxategi-izen bat, konfigurazio-lerro bat, goiburua duen pantaila-argazki bat edo txostenean dagoen esaldi zehatza. Xehetasunak endekatzen dira gertakaria bakoitzean berriro kontatzen denean.

Inbentariatu kontuak daraman autoritatea

Hartu kontua eta zerrendatu hara sartzeak zer ahalbidetzen duen. Helmugak, protokoloak eta portuak lehenengo, gero helmuga horiek baimentzen dituzten eragiketak, gero tunelaren eta datuen artean oraindik dauden identitate bereiziak. Bere autentifikazioa eskatzen duen fitxategi-zerbitzari bat ez da tunelera sartzearekin irekitzen, eta hori egiaztatzeko egitatea da, ez lasaitzeko arrazoia. Hitz berberak, VPN kredentzialak, internet irteera pertsonal bat eta dokumentu-sistema batera iristen den langile-kontu bat deskriba ditzakete, horregatik inbentarioa kontu bakoitzeko da.

Ondoren zerrendatu kontuaren beste azalerak. Identitate berak zerbitzu-atari batean saioa hasten duenean, jakin ezazu atariak zer ahalbidetzen duen: kontuaren datuak irakurtzea, profilak deskargatzea, beste gailu bat erregistratzea edo sarbidea aldatzea. Ez suposatu funtzio horiek badaudenik ezta falta direnik ere; irakurri inplementatutako konfigurazioa eta produktuaren dokumentatutako jokabidea.

Amaitu saioa, ez soilik pasahitza

Pasahitza aldatzea eta autorizazio guztiak amaitzea ekintza desberdinak dira plataforma gehienetan, eta bien arteko hutsunean jarraitzen du intrusoak lanean. Identifikatu saioaren atzeko ziurtagiria edo gailu-kredentziala, baliogabetu eta egiaztatu zerbitzariak benetan baliogabetze-datuak kontsultatzen dituela.

Easy-RSA estiloko CA batekin segida laburra da, eta azken urratsa saltatzen dena da.

openssl x509 -in vpn-client.crt -noout -serial -subject -dates
./easyrsa revoke vpn-client
./easyrsa gen-crl

Zerbitzariak zerrenda hori bere baliogabetze-aukeraren bidez kargatu behar du aldaketak zerbait esan aurretik, eta jada ezarritako saio batek negoziazio berriraino iraun dezake. Amaitu esplizituki produktuak kontrol hori eskaintzen badu, eta erregistratu zer amaitu zenuen, noiz eta zein identitaterekin.

Trafiko-gakoak ikerketa bereizia dira

TLS 1.3(e)k erregistroen babeserako gakoak esku-ematearen sekretuetatik eratortzen ditu, eta gako-truke efimeroarekin sekretu horiek saio horretarako bakarrik existitzen dira eta ezin dira zerbitzariaren epe luzeko gako pribatutik berreskuratu. TLS zehaztapena erregistroen babesa mekanismo kriptografikotzat hartzen du, ez kontuaren pasahitza isilpean mantentzearen ondorio gisa. Horregatik lapurtutako saio-hasiera ez da lehenago harrapatutako paketeak irakurgarri bihurtu zirelako froga, eta ez da kontrakoaren bermea ere, protokoloaren bertsioak, esku-emate moduak eta benetan agertutako materialak erabakitzen baitute erantzuna.

Gako pribatu bat edo sekretu partekatu estatikoa duen pakete batek kasua beste kategorian jartzen du. Gauza bera egiten du konprometitutako muturreko puntu batek, non aplikazio-datu irakurgarriak eta zuzeneko saioen materiala egon baitaitezke, tunela bera nola giltzatu zen axola izan gabe.

Eduki materialaren arabera, gero egiaztatu zer gertatu den

Pasahitzak bakarrik agertzean lana kredentzialen errotazioa, saioak amaitzea, atariaren berrikuspena eta beste sistema batzuetan pasahitz bera dagoen egiaztatzea da. Gako-materialean gainera gakoa ordeztu, ziurtagiriak berriz eman eta gako horrek babestu zuen guztia berrikusi behar da, zerrenda askoz luzeagoa.

Gero ezarri frogen muga errotazioak arrastoa gainidatzi aurretik. Tunelaren erregistro-sarrera batek sarbidea frogatzen du, aplikazioaren erregistro-sarrera batek aplikazioaren saio-hasiera frogatzen du, eta batek ere ez du bestea frogatzen.

journalctl -u openvpn-server@server --since "2026-11-01" --no-pager

Eduki kredentziala bera gertakariaren txostenetik kanpo. Txostenak kontua, denbora-tartea eta frogen bidea behar ditu, ikerketa hasi zuen sekretua ez.