VPN saiakera okerra: zein kredentzial motak zeharkatu zuen muga?
Saiakera huts batek agian ez zuen ezer bidali, edo erantzun zuenari pasahitza eman zion. Sailkatu artefaktua zer baliogabetu erabaki aurretik.
VPN oker batera konektatu zinen, eta bezeroak hutsegitea jakinarazi zuen. Hori garrantzitsua izan zen ala ez, hutsaren aurretik kabletik zer igaro zen araberakoa da, eta hitzak berak ez dizu esaten. Esku-ukaldi batzuek ez dute sekreturik eramaten, eta beste batzuek pasahitza ematen diote helbideari erantzun zionari. Ebatzi bi kasuetatik zein gertatu zen, ezer baliogabetu aurretik.
Gelditu eta gorde frogak
Gorde bezeroaren erregistroa, hautatutako profila, idatzi zuen helbidea eta gutxi gorabeherako ordua. Idatz itzazu bezeroaren kanpoaldean, profil baten edizioak edo berrinstalazioak beharko duzun erregistroa suntsitzen baitu. Geldiarazi hurrengo saiakera oro, muturra kontrolatzen duzun bide batetik berretsi arte.
Inoiz ez argitaratu profil edo erregistro deszentsuratua foro publiko batean, saiakera segurua izan zen galdetzen duzun bitartean. Dokumentu horiek gako pribatu baten bidea, barneko ostalari-izena edo token bat izaten dute sarritan, beraz, zentsuratu lehenengo eta partekatu muturraren jabe den administratzailearekin.
Zer zeharka dezakeen muga
Nahasketaren zatirik handiena huts oro gertaera mota bakartzat hartzetik dator. Lau gauza desberdin irits daitezke beste aldera: ziurtagiri publiko bat, gako bat erabili zela frogatzen duen sinadura bat, pasahitz edo behin-behingo kode bat, eta zuk zeuk hautatutako fitxategi bat. Bakoitzak bere ondorioa eta bere konponketa ditu. Artefaktua sailkatzea da ondoren guztia erabakitzen duen urratsa.
Ziurtagiriaren kasua da arinena, bidaiatzen duena diseinuz publikoa baita eta haren eremu identifikatzaileak jada konektatzen den edonorentzat ikusgai daudelako. Erronka baten gaineko sinadura batek gakoa erabili zela esaten du, ez bidali zela. Pasahitza kontrako kasua da: jasotzen duenak beste nonbait proba dezake, eta pasahitzak egiaztatzeko eraikitako zerbitzu bat da balio horren hartzaile aurreikusia.
Gakoaren froga ez da gakoaren igoera
TLS modernoak bi ideia horiek bereizita mantentzen ditu apropos. RFC 8446 CertificateVerify mezua deskribatzen du, non bezeroak erronka bat sinatzen duen bere ziurtagiriari dagokion gako pribatuarekin. Sinadurak jabetza erakusten du gakoa eraman gabe, eta horregatik ziurtagiri bidez autentifikatutako saiakera ez da automatikoki gakoaren konpromisoa.
Lasaitasun horrek aipatzeko moduko muga bat du. Frogak gakoak truke horretan parte hartu zuela erakusten du, eta ez du ezer esaten makinako programa lokal batek jada zer irakurri zuenari buruz. Ez du ezer esaten ere saiakera ezezagun bat benetan noraino iritsi zenari buruz, eta horregatik erregistroak teoriak baino gehiago balio du oraindik.
Pasahitzek erabat desberdina den konfiantza-eredua jarraitzen dute. Kanpoko egiaztatzaile batekin konfiguratutako kontzentratzaile batek aurkeztutako balioa pasa dezake, beraz hura jasotzea da funtzio aurreikusia, eta helmuga okerra benetako esposizioa da, ez teorikoa.
Berreraiki saiakera erregistrotik
Lau gertakarik berreraikitzen dute saiakera: benetan zein helbiderekin harremanetan jarri zen, zerbitzariaren identitatea egiaztatu zen ala ez, zein autentifikazio-metodo hautatu zen eta non gelditu zen prozesua. Bakoitza bezeroaren erregistro batean agertzen da, eta bakoitzak istorio desberdin bat baztertzen du. Bideei edo esleitutako helbide bati buruzko errore batek ez du ezer esaten kablean jada zegoenari buruz, autentifikazioa tuneleko konfigurazioak huts egin aurretik amaitu baitzitekeen.
Atera gertakari horiek bezeroaren beraren erregistrotik, ez memoriarik. Iragazki estu batek irteera nahikoa labur mantentzen du zentsuratzeko eta partekatzeko:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Ez ordeztu ostalari-izena horietako ezein. Izen ezagun batek, uneko DNS erantzun batek eta softwareak erakusten duen ziurtagiri abisu batek oraina deskribatzen dute, ez aurreko konexioa. Pasahitz eskaera bat ere ez da ezer bidali zenaren froga, bezeroak hura bidali aurretik huts egin baitzeen.
Erabaki, eta gero jardun
Erabakia artefaktutik dator, ez hutsak zenbat kezkagarri zirudienetik. Irakurri lau lerroak berreraiki dituzun gertakarien aurka:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Pasahitz bat nahi gabeko zerbitzu batera iritsi bazen, aldatu kontuaren kudeaketa-kanalaren bidez eta egiaztatu non berrerabili zen. Ihes egindako behin-behingo kode batek bide hori ixten du, baina harekin sortutako saio batek ez, beraz, eskatu identitate-administratzaileari saioak berrikusteko. Gako-fitxategi bat benetan igo bazen, jarraitu jaulkitzailearen baliogabetze-prozesua, abusuaren frogaren zain egon ordez.
Gero idatzi emaitza mugatua: zer bidali zen, zer jarraitzen duen ezezaguna eta zein kredentzialek behar duen ekintza. Erregistro horixe eskatuko du berrikuspen berantiago batek, eta bi ondorio erosoenak baino erabilgarriagoa da.