PPTP/MS-CHAPv2 ôfskaffe: runbook foar in ferâldere VPN

Wachtwurden fan tweintich tekens, dy’t moanneltwad feroare wurde en yn in klûs bewarre wurde, meitsje fan in PPTP-tsjinner mei MS-CHAPv2 gjin moderne VPN. It wachtwurd is in ynfier foar in útwikseling waans swakte yn ’e útwikseling sels leit. Dit runbook is foar wa’t dy tsjinner erfd hat en de brûkers der fanôf bringe moat sûnder it plak te snijen dat derfan ôfhinklik is. Wurkwizje de stappen yn folchoarder, want elk lit in oantekening efter dy’tst nedich hast as immen freget wêrom’t de tagong hommels feroare.

Skriuw de stapel op foardatst eat oanrekest

Trije lagen wurde yn it wurd PPTP gearfoege, en elk mislearret op syn eigen wize. De tunnel is PPTP sels, GRE plus TCP 1723. De autentikaasje is hokker PPP-metoadde de tsjinner ek oanbiedt, hjir MS-CHAPv2. De ferbiningsbeskerming is MPPE, waans kaaien fan dy autentikaasje-útwikseling ôflaat wurde. Alle trije neame foarkomt dat in lettere reparaasje op ’e ferkearde laach lânet.

Lês de libbene konfiguraasje ynstee fan in wikiside te fertrouwen, en notearje it bestân, de listener en de lêste sesjes dy’t autentisearre hawwe.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Op in Windows-rol foar ôfstâns tagong komt deselde ynhâld út twa opdrachten, en de twadde is wichtich om’t in rol ferskate metoadens tagelyk oankundigje kin wylst de kliïnten yn it fjild altyd mar de swakste ûnderhannelje.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Bepale wat de tunnel hjoed wier ferfiert

Lis de brûkers op foardatst in ferfanging kiest: rûnreizgjende laptops, in ôfdielingsrouter, in betellingsterminal, in set fjildtablets. In brûker dy’t mar ien ynterne host berikke moat, is maklik te ferpleatsen. In brûker dy’t ynbêde is yn hardware dy’tst net opnij flashe kinst, hat miskien in tuskenlizzende gateway nedich ynstee fan in kliïntfernijing, en dy beslissing heart yn it plan, net midden yn ’e oergong.

Freegje dan wat in oanfaller dy’t de oanmeld-útwikseling besjen of beynfloedzje kin, krije soe. Mei MS-CHAPv2 omfettet it antwurd materiaal dat in offline weromkrije fan it wachtwurd fan de brûker mooglik makket, en dêrom reparearje lingte en rotaasje it ûntwerp net: it weromfûne geheim jildt op elk systeem dêr’t de brûker it wer brûkt hat.

MPPE erft deselde swakte, om’t syn kaaien út dy útwikseling komme, en it jout dy net de yntegriteit per pakket en it werhellingsgedrach fan in moderne AEAD-sifer. In sesje dy’t skjin autentisearret, hat allinnich kompatibiliteit mei de konfigurearre kontrôles bewiisd en net mear.

Noch in koarte middeisgong noch in lyts tal brûkers feroaret in kryptografyske eigenskip yn in beliedseigenskip.

Fier de migraasje út binnen ien ûnderhâldsfinsters

Set de ferfanging oerein, bewiis him mei ien proefgroep, en stopje dan de âlde listener ynstee fan him as stille efterfal te litten. In efterfal dêr’t elkenien noch by kin is gjin migraasje, en it hâldt de swakke útwikseling beskikber krekt foar dy brûkers dy’t har nea de muoite dogge om oer te stappen.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Slút it firewallpaad yn itselde finster. GRE hat gjin poarte om te ûnthâlden, dus in regel dy’t protokol 47 op nûmer tastean lit, is maklik oer de holle te sjen en lit de tsjinst berikber efter sels nei’t de daemon fuort is. Notearje de regel dy’tst fuorthelle hast, syn eardere posysje en de reden, sadat in lettere wizigingsoersjoch him net by ûngelok weromset.

Behannelje oanmeldgegevens apart fan de konfiguraasje. In kliïntprofyl fuorthelje is gjin weromrop, en in akkount dat earne oars noch autentisearret is net ôfskafte.

Ferifiearje dat de ferfanging it wurk docht dat PPTP die

De checklist is net “ferbynt it”. It is oft autentikaasje, adresferdieling, DNS-oplossing, rûtkar, werferbyningsgedrach en peer-ferifikaasje allegear noch hâlde ûnder de ferfanging. Test elk op in proefapparaat, yn dy folchoarder, en skriuw it waarnommen resultaat njonken de ferwachting.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

In adres op ’e ynterface bewiist dat de ûnderhanneling klear is. It bewiist net dat de fiere kant de rûte autorisearre hat dy’tst ferwachtet, en de syktocht hjirboppe antwurdet allinnich foar dizze host, net foar in trochstjoerde LAN. In antwurd fan in resolver bewiist berikberens fan in resolver, net dat split-DNS-belied de goede nammen dêrhinne stjoert.

Ferbin wer as lêste, want dêr geane de measte ferfangings efterút: set in laptop yn sliep, feroarje netwurken, en befêstigje dat de tunnel wer opboudt sûnder ferâldere rûtes efter te litten.

Weromdraaie, weromrop en de oantekening dy’tst efterlitst

Weromdraaie herstelt tsjinst; it herstelt gjin feiligens, en it ferskil moat lûd sein wurde foardat it finster iepengiet. As it nije paad mislearret, bring de brûkers dan werom fia in twadde moderne einpunt of in tydlike gateway, net troch PPTP foar elkenien wer oan te setten. Ien needpaad op it âlde protokol hâlde ferbredelet de bleatstelling dy’tst krekt dokumintearre hast.

Weromrop nei de oergong de akkounts dy’t oer PPTP autentisearre hawwe, lit har bewarre profilen ferrinne, en befêstigje dat de GRE-regel fuort is fan elk râne-apparaat, ynklusyf de needherstel-kopy dy’t nimmen ûnthâldt.

Lit in koarte oantekening efter: de protokollen dy’tst fûn hast, de datum dat elke listener stoppe, de kliïntferzjes dy’t de ferfanging stipet, en de eigner dy’t de beslissing wer iepenje kin. Wachtwurdhygiêne bliuwt dêrnei wichtich, mar as hygiêne op in protokol dat it fertsjinnet, net as argumint om it âlde libben te hâlden.