Durcissement du VPN Windows : corrigez l’authentification avant le tunnel

Votre serveur VPN Windows demande un nom d’utilisateur et un mot de passe, et cette unique boîte de dialogue cache trois devoirs sans rapport. L’un prouve qui est la personne, l’un empêche quelqu’un qui surveille le fil de rejouer cette preuve, et l’un décide des adresses qu’elle peut atteindre ensuite. La plupart des petits déploiements durcissent d’abord le tunnel et laissent les deux premiers devoirs à leurs valeurs par défaut, ce qui est le mauvais ordre.

Travaillez dans l’ordre de l’attaquant. D’abord ce qui peut être capturé sur le fil. Ensuite ce qui peut être rejoué plus tard avec cette capture. Enfin ce qu’un attaquant authentifié peut atteindre une fois à l’intérieur.

Trois devoirs, une boîte de dialogue

L’identité est la partie à laquelle les gens pensent, et elle ne représente qu’un tiers du problème. La preuve d’identité doit survivre à un observateur qui enregistre l’échange et réessaie plus tard. L’autorisation est une décision distincte que le serveur prend une fois l’identité établie, et Windows la conserve dans un service différent de celui qui valide les informations d’identification.

Quand les trois vivent dans un même seau mental, le résultat habituel est un serveur qui authentifie fortement puis permet à l’utilisateur d’atteindre tout. Corriger cela plus tard est plus difficile que de décider la politique maintenant, car d’ici là le profil de pare-feu, le pool d’adresses et les routes encodent tous l’ancienne hypothèse.

Séparez les trois dans vos notes avant de toucher à un réglage, puis corrigez-les de la maille la plus faible vers le haut.

Pourquoi MS-CHAPv2 ne survit pas à un test de rejeu

Si le serveur accepte encore PPTP avec MS-CHAPv2, le tunnel ne protège le mot de passe dans aucun sens utile. Le défi et la réponse peuvent être capturés et attaqués hors ligne, et en 2012 un service public de cassage a démontré la récupération d’un tel échange en environ une journée pour un mot de passe typique. Un mot de passe plus long et plus complexe augmente le coût ; il ne retire pas la matière dont l’attaquant a besoin depuis le réseau.

La propriété que vous voulez est une information d’identification non rejouable. EAP-TLS avec des certificats clients donne à chaque appareil sa propre identité et vous permet de révoquer exactement un appareil.

Le déploiement de certificats est un vrai travail : une AC privée, un chemin de révocation que les clients vérifient et un plan de renouvellement qui survit au renouvellement du personnel. Traitez ce travail comme le projet et non comme un obstacle entre vous et un tunnel qui fonctionne. Budgétez-le comme vous budgéteriez un remplacement de pare-feu. Un mot de passe partagé n’est moins cher que jusqu’à la première révocation.

Une clé prépartagée authentifie la paire, pas la personne

L2TP/IPsec avec une clé prépartagée prouve que deux passerelles connaissent le même secret. Elle ne dit rien sur la personne qui se connecte et ne peut pas distinguer un employé d’un autre à cette couche. Utilisez une longue valeur aléatoire, bien au-delà des dix caractères que suggèrent certains guides, car quiconque capture la poignée de main peut attaquer la clé hors ligne.

Chaque client de ce profil partage le secret, donc retirer une personne signifie le redistribuer à tous ceux qui restent. Gardez une étape d’authentification utilisateur distincte au-dessus du secret de niveau machine, et passez aux certificats à mesure que la population de clients grandit. Une clé prépartagée combinée à MS-CHAPv2, ce sont deux couches faibles, et la seconde annule la première.

L’autorisation appartient à Network Policy Server

NPS sous Windows décide qui peut se connecter, et il le fait après que l’authentification a déjà réussi. Cette séparation est le contrôle de durcissement le plus utile du produit, et beaucoup de déploiements le laissent intact.

Utilisez des conditions de stratégie qui reflètent de vraies contraintes : l’appartenance à un groupe, la plage horaire où le support est assuré et l’état de l’appareil issu d’un contrôle de santé. Ajoutez un second facteur là où les données justifient la friction, et rappelez-vous que la stratégie est évaluée à chaque tentative de connexion, ce qui en fait un contrôle vivant plutôt qu’un document.

La comptabilité RADIUS vous donne aussi un enregistrement de qui s’est connecté et quand. Ce journal fait la différence entre une revue d’incident et une supposition, et il existe que quelqu’un le lise ou non.

Limitez ce qu’une connexion réussie peut atteindre

L’adaptateur VPN devrait atterrir dans un profil de pare-feu qui autorise les services dont son rôle a besoin plutôt que tout le sous-réseau. La question du routage est distincte du filtrage. Un tunnel complet protège l’appareil client et pousse chaque octet par votre liaison montante, tandis qu’un tunnel divisé garde le trafic local local et expose l’appareil au réseau sur lequel il se trouve.

Aucun des deux choix n’est une valeur par défaut de sécurité. Les deux doivent être consignés à côté du profil de pare-feu qu’ils supposent.

Vérifiez les chemins d’échec

Testez ce qui devrait casser : un mauvais mot de passe, un certificat expiré, un appareil révoqué, un utilisateur hors du groupe. Chacun devrait échouer à un point différent, et le journal devrait dire lequel. Lancez la série d’abord sur un compte de test, puis répétez-la pour un utilisateur réel. Un refus qui atterrit dans le journal des événements sans raison vaut la peine d’être corrigé bien avant que vous n’ayez besoin de cet enregistrement.

Confirmez ensuite quels ports sont publiés et pourquoi. PPTP a besoin de TCP 1723 et de GRE comme protocole IP plutôt que comme port, IKEv2 a besoin d’UDP 500 et 4500, et L2TP a besoin d’UDP 1701 plus IPsec. Exposer une interface d’administration pour qu’un client se connecte n’est pas une réparation, c’est un second incident qui attend d’être découvert.

Enfin, décidez ce que le serveur enregistre et pendant combien de temps. Un point de terminaison sans historique d’authentification ne peut pas répondre à la première question après un incident, à savoir si la tentative a jamais été autorisée.