Me ya sa ingantaccen lamba ta lokaci ɗaya har yanzu take kasa shiga VPN

Kana buɗe manhajar VPN, ka rubuta kalmar sirri, sai lambobi shida daga na'urar tabbatarwa suka dawo a matsayin marasa inganci — sau biyu, sannan a karo na uku. Babu abin da ya canza a asusun tun jiya, don haka tunanin farko shi ne goge shigarwar a na'urar tabbatarwa sannan a sake skanenta — yawanci wannan shine gyaran da bai dace ba. Lamba ta lokaci ɗaya ba kalmar sirri ta biyu ba ce: dole ƙofar ta nemi ta a wani mataki na musamman, daga wata shigarwa da aka yi wa rajista, cikin wani taga na musamman, kuma yawancin ƙi suna faruwa kafin a kwatanta lambobin. Gano a wane mataki kake kafin ka taɓa rajistar.

Tsarin tambayoyin yana nuna a wace hanya kake

Siffofi uku suna rufe kusan duk wata shiga VPN da ta ƙunshi lamba. A siffar matakai biyu abokin ciniki yana aika kalmar sirri, uwar garken tana ba da ƙalubale, sannan abokin ciniki ya sake tambaya. A siffar haɗaɗɗiya ƙofar tana son kalmar sirri da lamba a aika ɗaya — wani lokaci a haɗa su, wani lokaci bayan mai raba da mai aiki kaɗai ke rubuta shi. A siffar mai bincike abokin ciniki ba shi da wani fili kwata-kwata: lambar tana shiga shafin yanar gizo, ko amincewar turawa ta maye gurbinta, kuma abokin ciniki na kwamfuta yana jiran sakamako.

Kuskuren siffa yana kama da mummunar lamba. Manna sabuwar lamba a filin da aka yi don kalmar sirri kaɗai, uwar garken za ta karanta ta a matsayin ɓangaren kalmar sirri. A gefen abokin ciniki, OpenVPN 2.4 da sabbi suna bayyana bambancin: uwar garken da ke amsawa da AUTH_FAILED,CRV1: tana sa ran amsar ƙalubale, don haka bayanan na buƙatar static-challenge ko fayil ɗin kalmar sirri a siffar SCRV1:. Tsofaffin bayanai da ke ɗauke da auth-user-pass kawai suna tabbatar da kalmar sirri sannan su tsaya, wanda a cikin tarihin yana kama da gazawar OTP ko da ba a aika wata lamba ba.

Ya kamata a ambaci WireGuard a matsayin banda: yana tabbatar da nau'ikan maɓalli ne ba mutane ba, don haka babu fili don lamba. Idan mai bayarwa ya tallata ɗaya, wani abu a wajen ramin ne ke karɓar sa.

Abin da uwar garken ke yi da lambobi shida

Lambobin da suka dogara da lokaci suna bin RFC 6238, wanda ke naɗe tsohuwar ginin da ya dogara da ƙididdiga daga RFC 4226: HMAC a kan wani abu mai motsi, ana yanke shi zuwa lambobi shida bisa tsohuwar ƙa'ida. A TOTP abin da ke motsi shi ne lokacin Unix na yanzu da aka raba da mataki, 30 daƙiƙa sai dai mai aiki ya canza shi. Mai tabbatarwa ba ya taɓa kwatanta lambobinka da wata ƙima da aka adana; yana sake lissafin lambar da ake tsammani daga irin da aka raba kuma yawanci yana karɓar matakan da ke kusa ma, don haka tafiya a hankali ba ta sa shiga ya gaza.

An manta da sakamako biyu. Yankin lokaci na wayar ba shi da mahimmanci, domin irin ba ya taɓa ganin agogon gida — karkata daga ainihin UTC ne kaɗai ke da mahimmanci, kuma na'urar da ke gudu minti biyu gaba tana gaza kowace lamba yayin da take nuna ƙididdigar da ta tsaftace. Kuma lamba ta lokaci ɗaya ce bisa ƙira: mai tabbatarwa yana tuna ƙimar ƙididdiga ta ƙarshe da ya karɓa don wannan irin, don haka ana ƙin wannan lambobin idan an sake aika su ko da cikin wannan taga. Abokin ciniki da ya sake gwadawa bayan ƙarewar lokaci na iya ƙone lambar da ya aika yanzu.

Alamomin da suka dogara da ƙididdiga suna motsa ƙididdigarsu a kowane dannawa, don haka sun fita daga daidaituwa bayan an ƙirƙiri lambobin amma ba a taɓa aika su ba; gyaran da aka saba shi ne tagar sake daidaitawa da ke karɓar ƴan ƙima gaba. Idan mai aiki ya yi rajistar HOTP amma manhajarka tana nuna TOTP, kowace ƙima ba daidai ba ce ta yadda take kama da matsalar agogo. URI na samarwa da ke bayan lambar QR yana ambaton nau'in, lambobin, lokacin da hash ɗin.

Gazawar da take kama da kuskuren lamba

Shigarwar da aka yi wa rajista ita ce mafi yawan laifi. Manhajojin tabbatarwa suna yi wa shigarwa lakabi bisa mai bayarwa da asusu, don haka duk wanda ke da asali biyu a kan VPN ɗaya zai iya ƙarewa da shigarwa biyu waɗanda lakabinsu ya bambanta da harafi ɗaya. Lamba tana aiki ne don irin da ya ƙirƙire ta kuma ba don wani abu ba. Kwatanta lakabin da ke wayar da sunan mai amfani da uwar garken ke rubutawa, ba da abin da ka tuna ka rubuta ba.

Na biyu saitin sigogi ne da bai dace ba. Irin da aka yi rajista da lambobi takwas, lokaci na 60 daƙiƙa ko SHA-256 yana ba da lambobin da mai tabbatarwa da ke tsammanin lambobi shida, 30 daƙiƙa da SHA-1 zai ƙi, kuma a wajen abokin ciniki ba za a iya bambanta shi da kuskuren lamba ba. Yana bayyana bayan ƙaura inda aka sake ƙara shigarwa daga hoton lambar QR, ko inda aka sake gina rikodin alamar da ƙimomin da aka saba.

Na uku bai shafi lambar ba. Ƙofofi yawanci suna mayar da gazawar tabbatarwa ɗaya ta gama-gari don kuskuren kalmar sirri, lambar da ta ƙare da asusun da aka kashe, da gangan, don kada kowa ya iya bincika wane abu ya gaza. Karanta tarihin ƙofa ko RADIUS maimakon banner na abokin ciniki: ƙalubalen da ba a taɓa bayarwa ba, ƙin shiga ba tare da sifar OTP ba da ƙin manufa duk suna kama da juna a kan allo kuma suna kaiwa ga matakai na gaba daban-daban.

Gajeren jeri da ke taƙaita shi

Fara da mafi arha dubawa kuma tsaya a matakin farko da bai tabbata ba.

1. Jira sabuwar lamba, aika ta sau ɗaya, kuma lura ko ƙalubalen yana bayyana kafin ko bayan an karɓi kalmar sirri.
2. Daidaita lakabin da ke cikin na'urar tabbatarwa da sunan mai amfani da uwar garken ke adanawa.
3. Tabbatar cewa bayanan na iya amsa ƙalubale kwata-kwata, kamar yadda yake a yanayin CRV1 da ke sama.
4. Kwatanta agogon na'urar da wata hanyar lokaci da aka sani; karkata fiye da wasu goman daƙiƙa tana karya TOTP da kanta.
5. Tambayi mai aiki ko alamar TOTP ce ko HOTP, da waɗanne lambobi, lokaci da hash aka yi rajista.

Ƙa'idoji biyu suna hana wannan sa abubuwa su ƙara muni. Kada ka sake gwadawa sau da yawa: yawancin ƙofofi suna ƙididdige gazawa ga kowane asusu kuma ko dai sun kulle shi ko su fara jinkirta amsoshi, don haka fashewa ɗaya tana mai da ƙaramin kuskuren tsari tikitin tallafi. Kuma kada ka sake yin rajistar alamar a matsayin bincike, domin hakan yana ɓata tsohon irin; idan ainihin laifin ƙalubale ne da abokin ciniki bai taɓa aikawa ba, yanzu kana da canje-canje biyu da za ka bayyana maimakon ɗaya.

Ka nisantar da irin da lambobin dawo da su daga cikin tsarin

Lambobi shida da sirrin da ke bayansu ba za a iya musanya su ba. Lambar QR ta samarwa ko irin Base32 tana ƙirƙirar kowace lamba ta gaba don asusun, don haka tana cikin rukuni ɗaya da kalmar sirri: ba a cikin hoton allo ba, ba a cikin sharhin tikit ba, ba a cikin hira da wanda ya fara tuntuɓar ka ba. Lambobin dawo da su wata hanya ce ta dabam — ta lokaci ɗaya, sau da yawa suna tsallake tambayar lamba gaba ɗaya, kuma kashe ɗaya don gwada asusun yana cire wata hanya ta wucewa da za ka iya buƙata daga baya.

Lamba ba ta sa shafin shiga ya zama abin dogaro ba: tambayar OTP a kan yankin da ya yi kama tana tattara ingantacciyar lamba kuma tana sake kunna ta cikin tagar, kuma takardar shaidar ita ce har yanzu ke gaya maka inda kake rubutu.

Idan jerin ya ƙare a bayanan da ba za su iya amsa ƙalubale ba, gyara bayanan ka sake gwadawa da sabuwar lamba ɗaya. Idan ya ƙare a sigogin rajista da ba su dace ba, ka nemi mai aiki ya karanta rikodin alamar kafin kowa ya skana wani abu. Idan ya ƙare a kullewa, jira ya wuce maimakon canza abokin ciniki — yanayin asusun ne katangar, ba manhajar ba.