Wêrom't in VPN-ferbining opnij om tagongsgegevens freget
In bewarre wachtwurd en in werbrûkber token ferrinne op ferskate skema's. Lês hokker materiaal de ferbining frege foardat jo eat op 'e klant feroarje.
In tunnel dy't oeren wurke hat, freget in wachtwurd op it stuit dat de laptop wekker wurdt, en neat yn 'e konfiguraasje is feroare. Wat wol feroare is, is de steat fan 'e tagongsgegevens dy't de ferbining besocht wer te brûken. Trije soarten materiaal regearje dat, en mar ien fan har oerlibbet in willekeurige skoft.
Lês hokker de klant frege, want de trije ferrinne op ferskate klokken en mislearje mei ferskate berjochten.
Trije soarten werbrûkber materiaal
In bewarre wachtwurd is in geheim dat de klant hâldt, en it bliuwt jildich oant it akkount it feroaret. In sesjetoken wurdt troch de tsjinner útjûn nei in suksesfolle oanmelding, draacht syn eigen libbensdoer en kin op elk stuit ynlutsen wurde. In TLS-sesjeticket of in IKE-feiligingsassosjaasje is protokolsteat, goedkeap om te ferfangen en folslein ûnôfhinklik fan jo wachtwurd. Elk wurdt troch in oare komponint útjûn, en elk ferrint op syn eigen betingsten.
De earste oerlibbet in werstart, de twadde oerlibbet meastal in sliep, en de tredde oerlibbet miskien hielendal gjin netwurkferoaring. Se trochinoar helje jout de ferkearde oplossing, lykas it weromsetten fan in wachtwurd dat nea wegere is.
De oproep sels is de diagnose. In blêderfinster of in twaddefaktor-koade betsjut dat de tsjinner ynteraktive autentikaasje easke, wylst in stil mislearjen sûnder oproep betsjut dat de klant nea fier genôch kaam om frege te wurden.
| Material | Typical lifetime | What invalidates it |
|---|---|---|
| Cached password | Until changed | Account or password policy change |
| Session token | Minutes to hours | Expiry, revocation, reauthentication policy |
| Tunnel SA or TLS ticket | Configured rekey interval | Rekey, network change, peer restart |
Kaaien fernije is gjin werautentikaasje
In kaaifernijing ferfangt kaaien wylst de autentisearre identiteit behâlden bliuwt, dêrom bart it op in sûne tunnel no en dan stil. Werautentikaasje werhellet de identiteitskontrôle sels, en dat is it barren dat jo nedich hat. IKEv2 skiedt de twa eksplisyt, en in partner kin in folsleine werautentikaasje op in ynsteld ynterval easkje, nettsjinsteande hoefolle kaaifernijingen der tuskenyn bard binne. De twa barrens lykje fan bûten identyk oant jo lêze hokker it loch neamt.
OpenVPN docht itselde yn syn eigen wurdskat: in werûnderhannelingsynterval ferfarsket it gegevenskanaal, en in autentikaasjetoken kin oan 'e klant weromjûn wurde om in folsleine oanmelding by de folgjende ferbining te foarkommen. Dat token hat in libbensdoer, en de tsjinner beslút oft it wer akseptearre wurdt.
Sa kin in ferbining nei acht oeren mislearje wêr't in ferbining nei acht minuten slagge, sûnder konfiguraasjefoarhering oan beide kanten. Dat is de hiele ferklearring foar in oproep dy't pas nei de middei ferskynt.
As de klant de nije útdaging net foltôgje kin
In belied dat in blêderstap easket, sil mislearje op in klant dy't gjin manier hat om ien te toanen. Serveres sûnder byldskerm, opstartskripts en âlde profilen boud foar autentikaasje mei allinnich wachtwurd stjitte allegear op dy muorre, en it mislearjen ferskynt faak as in algemiene tiidferrin, net as in autentikaasjeflater.
Apparaat- en netwurkoergongen kinne ek yn in beliedsbeoardielingsfinster falle, sadat in ferhuzing fan Wi-Fi nei in hotspot gearfalt mei in kontrôle dy't dochs barre soe. De tafal lit it netwurk skuldich lykje wylst de timer de oarsaak is.
openvpn --config client.ovpn --verb 3 2>&1 | grep -i -E "reneg|auth" ipsec statusall | grep -i -E "rekey|reauth"
De earste rigel toant werûnderhannelings- en autentikaasjebarrens yn it eigen loch fan 'e klant, en de twadde toant de feiligingsassosjaasjes dy't in strongSwan-partner op dit stuit hat. Fergelykje de tiidstimpels mei it stuit dat de oproep ferskynde; in oerienkomst befêstiget de timer, net it netwurk.
Wat te rapportearjen, en wat net út te skeakeljen
As in hânmjittige oanmelding slagget en automatysk wergebrûk konsekwint mislearret, sis dat dan krekt sa tsjin 'e operator. It neamt de komponint: it wergebrûkpaad, net de tagongsgegevens. Befetsje de tiid fan it mislearjen, it akkount dat brûkt wurdt en it type oproep dat jo seagen.
Skeakelje de twadde faktor net út, slaan de sertifikaatfalidaasje net oer en plak tagongsgegevens net yn in skript om de ferbining stil te meitsjen. Elk fan dy hellet de kontrôle wei dy't it belied bestiet om ôf te twingen, en elk makket fan in oanmeldoproep in ynsidint.
Freegje ynstee om de stipe stream: in klant dy't de útdaging foltôgje kin, in tokenlibbensdoer dy't by de wurkdei past, of in goedkard net-ynteraktyf profyl foar de masine dy't net freegje kin. Dat binne allegear konfiguraasjebesluten dy't immen goedkrije kin, wat in tiidwurkoplossing net is.