Windows-VPN:n koventaminen: korjaa todennus ennen tunnelia

Windows-VPN-palvelimesi kysyy käyttäjänimeä ja salasanaa, ja tuo yksi valintaikkuna kätkee kolme toisistaan riippumatonta tehtävää. Yksi todistaa, kuka henkilö on, yksi estää yhteyttä tarkkailevaa henkilöä käyttämästä todistetta uudelleen, ja yksi päättää, mihin osoitteisiin hän saa sen jälkeen päästä. Useimmat pienet käyttöönotot koventavat ensin tunnelin ja jättävät kaksi ensimmäistä tehtävää oletusarvoihinsa, mikä on väärä järjestys.

Työskentele siinä järjestyksessä kuin hyökkääjä työskentelee. Ensin se, mitä yhteydestä voi siepata. Sitten se, mitä tuolla tallenteella voi myöhemmin toistaa. Lopuksi se, mihin todennettu hyökkääjä pääsee jo sisällä ollessaan.

Kolme tehtävää, yksi valintaikkuna

Identiteetti on se osa, josta ihmiset ajattelevat, ja se on vain kolmannes ongelmasta. Identiteetin todisteen on kestettävä tarkkailija, joka tallentaa vaihdon ja yrittää myöhemmin uudelleen. Valtuutus on erillinen päätös, jonka palvelin tekee sen jälkeen kun identiteetti on selvitetty, ja Windows pitää sitä eri palvelussa kuin sitä, joka validoi tunnistetiedot.

Kun kaikki kolme elävät yhdessä mielensisäisessä ämpärissä, tavallinen lopputulos on palvelin, joka todentaa vahvasti ja sallii sitten käyttäjän päästä kaikkeen. Sen korjaaminen myöhemmin on vaikeampaa kuin käytännön päättäminen nyt, koska siihen mennessä palomuuriprofiili, osoitepooli ja reitit kaikki koodaavat vanhan oletuksen.

Erottele kolme muistiinpanoissasi ennen kuin kosket asetusta, ja korjaa ne sitten heikoimmasta lenkistä ylöspäin.

Miksi MS-CHAPv2 ei kestä toistotestiä

Jos palvelin hyväksyy edelleen PPTP:n MS-CHAPv2:lla, tunneli ei suojaa salasanaa millään merkityksellisellä tavalla. Haaste ja vastaus voidaan siepata ja niitä voidaan hyökätä offline-tilassa, ja vuonna 2012 julkinen murtopalvelu osoitti palautuksen tuollaisesta kättelystä noin vuorokaudessa tyypilliselle salasanalle. Pidempi ja monimutkaisempi salasana nostaa kustannusta; se ei poista aineistoa, jonka hyökkääjä tarvitsee verkosta.

Ominaisuus, jonka haluat, on tunnistetieto, jota ei voi toistaa. EAP-TLS asiakasvarmenteilla antaa jokaiselle laitteelle oman identiteettinsä ja mahdollistaa täsmälleen yhden laitteen mitätöinnin.

Varmenteiden käyttöönotto on todellista työtä: yksityinen CA, mitätöintipolku, jonka asiakkaat tarkistavat, ja uusintasuunnitelma, joka kestää henkilöstön vaihtumisen. Käsittele tätä työtä projektina, älä esteenä sinun ja toimivan tunnelin välissä. Budjetoi sille niin kuin budjetoisit palomuurin vaihdolle. Jaettu salasana on halvempi vain ensimmäiseen mitätöintiin asti.

Ennalta jaettu avain todentaa parin, ei henkilöä

L2TP/IPsec ennalta jaetulla avaimella todistaa, että kaksi yhdyskäytävää tuntee saman salaisuuden. Se ei kerro mitään siitä, kuka ihminen yhdistää, eikä se pysty erottamaan yhtä työntekijää toisesta sillä kerroksella. Käytä pitkää satunnaisarvoa, selvästi yli kymmenen merkin, joita jotkin oppaat ehdottavat, koska kuka tahansa kättelyn sieppaava voi hyökätä avainta vastaan offline-tilassa.

Jokainen tuon profiilin asiakas jakaa salaisuuden, joten yhden henkilön poistaminen tarkoittaa sen jakamista uudelleen kaikille jäljelle jääville. Pidä erillinen käyttäjän todennusvaihe konekohtaisen salaisuuden päällä ja siirry varmenteisiin asiakasmäärän kasvaessa. Ennalta jaettu avain yhdessä MS-CHAPv2:n kanssa on kaksi heikkoa kerrosta, ja toinen kumoaa ensimmäisen.

Valtuutus kuuluu Network Policy Serveriin

Windowsin NPS päättää, kuka saa yhdistää, ja se tekee sen sen jälkeen kun todennus on jo onnistunut. Tämä erottelu on tuotteen hyödyllisin kovennuskontrolli, ja monet käyttöönotot jättävät sen koskemattomaksi.

Käytä käytäntöehtoja, jotka heijastavat todellisia rajoituksia: ryhmäjäsenyys, aikaväli jolloin tuki on miehitetty, ja laitteen tila terveystarkistuksesta. Lisää toinen tekijä sinne, missä tiedot oikeuttavat kitkan, ja muista, että käytäntö arvioidaan jokaista yhteysyritystä kohden, mikä tekee siitä elävän kontrollin eikä asiakirjan.

RADIUS-kirjanpito antaa myös yhden tietueen siitä, kuka yhdisti ja milloin. Tuo loki on ero tapahtuman tarkastelun ja arvauksen välillä, ja se on olemassa riippumatta siitä, lukeeko joku sitä koskaan.

Rajoita, mihin onnistunut kirjautuminen voi päästä

VPN-sovittimen pitäisi laskeutua palomuuriprofiiliin, joka sallii sen roolin tarvitsemat palvelut eikä koko aliverkkoa. Reitityskysymys on erillinen suodatuksesta. Täystunneli suojaa asiakaslaitetta ja työntää jokaisen tavun ylälinkkisi kautta, kun taas jaettu tunneli pitää paikallisen liikenteen paikallisena ja altistaa laitteen mille tahansa verkolle, jossa se sattuu olemaan.

Kumpikaan valinta ei ole turvallisuuden oletusarvo. Molemmat on kirjattava sen palomuuriprofiilin viereen, jonka ne olettavat.

Varmista epäonnistumispolut

Testaa, mikä pitäisi rikkoutua: väärä salasana, vanhentunut varmenne, mitätöity laite, ryhmän ulkopuolinen käyttäjä. Jokaisen pitäisi epäonnistua eri kohdassa, ja lokin pitäisi kertoa mikä se oli. Aja sarja ensin testitunnuksella ja toista se sitten oikealla käyttäjällä. Hylkäys, joka päätyy tapahtumalokiin ilman syytä, kannattaa korjata kauan ennen kuin tarvitset sitä tietuetta.

Vahvista sitten, mitkä portit on julkaistu ja miksi. PPTP tarvitsee TCP 1723:n ja GRE:n IP-protokollana eikä porttina, IKEv2 tarvitsee UDP 500 ja 4500, ja L2TP tarvitsee UDP 1701:n sekä IPsecin. Hallintaliittymän paljastaminen, jotta asiakas yhdistää, ei ole korjaus vaan toinen tapahtuma, joka odottaa löytämistään.

Päätä lopuksi, mitä palvelin tallentaa ja kuinka kauan. Päätepiste, jolla ei ole todennushistoriaa, ei pysty vastaamaan ensimmäiseen kysymykseen tapahtuman jälkeen, nimittäin siihen, oliko yritys koskaan valtuutettu.