VPN-oanmelding bliuwt hingjen nei in RADIUS Access-Challenge

Jo wachtwurd is goed, de VPN-oanmelding mislearret dochs, en de RADIUS-tsjinner hat miskien krekt dien wat him sein wie. De gateway hat wierskynlik in Access-Challenge ûntfongen, neat nuttich sjen litten en is doe ferfallen of hat dat antwurd as in ôfwizing behannele. Fan de kliïntkant liket it op ferkearde oanmeldgegevens of in brutsen tunnel. De oarsaak sit meastentiids midden yn in petear dat nimmen fêstlein hat.

Ien oanmelding, twa RADIUS-útwikselings

As de backend in twadde faktor wol, antwurdet er net op it earste fersyk mei aksept of ôfwizing. Hy antwurdet mei kode 11 en wachtet op it folgjende antwurd fan de brûker, dat de gateway yn in ferfolchfersyk werom stjoere moat. Dat ferfolch heart by itselde autentikaasjepetear, net by in nije oanmeldpoging.

Yn in wurkjende opset sjocht de brûker in twadde fraach: earst it wachtwurd, dan in ienmalige koade, of ien kombinearre fraach as de operator ien dokumintearre hat. Yn in brutsen opset ferskynt de twadde fraach nea en mislearret de oanmelding gewoan.

Dat is it symptoom om te efterfolgjen, en it is maklik om allinnich fan de kliïntkant te befêstigjen: as de VPN-klant om krekt ien geheim freget en dêrnei in wachtwurd ôfwiist dat jo witte dat jildich is, einige de útwikseling wierskynlik by de útdaging.

Wat de útdaging eins draacht

De RADIUS-spesifikaasje beskriuwt kode 11 yn seksje 4.4 en lit twa attributen ta dy’t hjir ta saak dogge. Reply-Message hâldt tekst foar de brûker, en State hâldt in ûntrochsichtige wearde dy’t de tsjinner werom hawwe wol. De NAS moat State net ynterpretearje, allinnich ûnferoare weromjaan.

It ferfolchfersyk brûkt in nije Identifier en in nije Request Authenticator, en it moat deselde State-wearde plus it antwurd fan de brûker drage. De tsjinner keppelt it oan ’e wachtjende útdaging fia dy State, dêrom kin in gateway dy’t it attribút op ’e nij makket of weilitten hat de seremoanje net foltôgje. De response authenticator op elk antwurd moat ek falidearje, oars moat de NAS it pakket fuortsmite.

Seksje 4.4 foeget it detail ta dat de measte stille mislearrings ferklearret: in NAS dy’t gjin útdagings stypje kin, behannelet Access-Challenge as in ôfwizing. As de VPN-tsjinst fan jo gateway âlder is as dy stipe of dy weilitten hat, wurdt it fersyk fan de backend om in twadde faktor daliks «autentikaasje mislearre» sûnder hokker fraach dan ek.

Wêr’t it keatlingsfersyk ferlern giet

De earste fertochte is it fraachpaad, net de oanmeldgegevens. In portaal dat in OTP-fjild foar web-oanmeldingen sjen lit, docht dat net automatysk foar de VPN-tsjinst, en guon gateways jouwe in útdaging allinnich troch oan klanten dy’t dy mooglikheid oankundigje. Test itselde akkount by beide yngongen; as it portaal wurket en de VPN net, sjogge jo nei de oerdracht, net nei it token.

It ynfierformaat is de twadde fertochte. Wachtwurd en koade gearfoegje sûnder de dokumintearre skieding fan de leveransier, of in bewarre oanmeldgegevens in âlde koade op ’e nij spylje litte, mislearret op in wize dy’t identyk oan in ferkeard wachtwurd liket. Brûk de dokumintearre aparte fraach of it kombinearre formaat fan de operator, en betink noait sels in skiedingsteken.

Utjefte-spesifike flaters besteane, mar in list fan reparearre ferzjes fan jierren lyn is gjin diagnoaze foar de hjoeddeiske ynset. Lês de útjeftenotysjes fan de software dy’t jo wier draaie, en hâld de waarnommen útwikselingsfase as jo bewiis.

Folgje ien poging fan begjin oant ein

Reprodusearje it ien kear, mei ûntfoutjen oan de tsjinnerkant oan, en hâld elke oare sesje bûten it opnimfinsters:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Yn de útfier moatte jo nei de foarm fan it petear sykje, net nei ien rigel. In earste Access-Request mei Identifier 3, in Access-Challenge dy’t State draacht, dan in twadde Access-Request mei Identifier 4 dy’t dy State werhellet en it antwurd fan de brûker befettet. As it twadde fersyk ûntbrekt, hat de gateway nea ferfolge. As it sûnder State oankomt, kin de tsjinner it net oan ’e wachtjende útdaging keppelje en sil it meastentiids ôfwiize.

Skras oanmeldgegevens, tokens en ûnnedige identiteitsgegevens as jo it spoar diele, en korrelearje eveneminten út ’e iene poging yn stee fan werhellingen út ferskate browser-tabblêden te mingelen. Tiidstimpels binne hjir jo freon; in útdaging dy’t oankomt neidat de klant it opjûn hat, liket foar de brûker op in ôfwizing en yn it log op in stadich antwurd.

De einige tastân dy’t jo wolle is in foltôge, autorisearre petear folge troch de bedoelde tsjinsttagong. In antwurd dat fan de RADIUS-tsjinner oankomt, bewiist folle minder.