PPTP/MS-CHAPv2 kivezetése: runbook egy örökölt VPN-hez

A húsz karakteres jelszavak, amelyeket havonta cserélnek és széfben tartanak, nem tesznek egy MS-CHAPv2-t futtató PPTP-kiszolgálót modern VPN-né. A jelszó egy olyan csere bemenete, amelynek gyengesége magában a cserében lakik. Ez a runbook annak szól, aki örökölte azt a kiszolgálót, és el kell költöztetnie róla a felhasználókat anélkül, hogy elvágná a tőle függő telephelyet. Végezze el a lépéseket sorrendben, mert mindegyik hagy egy feljegyzést, amelyre szüksége lesz, amikor valaki megkérdezi, miért változott meg hirtelen a hozzáférés.

Írja fel a rétegeket, mielőtt bármihez hozzányúlna

Három réteg olvad össze a PPTP szóban, és mindegyik a maga módján hibázik. Az alagút maga a PPTP, GRE plusz TCP 1723. A hitelesítés az a PPP-módszer, amelyet a kiszolgáló kínál, itt MS-CHAPv2. A kapcsolatvédelem az MPPE, amelynek kulcsai ebből a hitelesítési cseréből származnak. Mindhárom megnevezése megakadályozza, hogy egy későbbi javítás rossz rétegen landoljon.

Olvassa az élő konfigurációt, ne bízzon egy wikioldalban, és jegyezze fel a fájlt, a figyelőt és az utolsó hitelesített munkameneteket.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows távoli hozzáférési szerepkörben ugyanaz a leltár két parancsból jön, és a második számít, mert egy szerepkör egyszerre több módszert hirdethet, miközben a terepen lévő kliensek mindig csak a leggyengébbet tárgyalják meg.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Döntse el, mit szállít valójában ma az alagút

Sorolja fel a fogyasztókat, mielőtt cserét választ: vándorló laptopok, fiókrouter, fizetési terminál, terepi táblagépek együttese. Az a fogyasztó, amelynek csak egy belső hoszthoz kell eljutnia, könnyen áthelyezhető. Az olyan hardverbe ágyazott fogyasztó, amelyet nem tud újraflashelni, köztes átjárót igényelhet kliensfrissítés helyett, és ez a döntés a tervbe tartozik, nem az átállás közepébe.

Aztán kérdezze meg, mit kapna egy támadó, aki meg tudja figyelni a bejelentkezési cserét, vagy befolyásolni tudja. MS-CHAPv2 esetén a válasz tartalmazza azt az anyagot, amely lehetővé teszi a felhasználó jelszavának offline visszaállítását, és éppen ezért a hosszúság és a rotáció nem javítja a tervezést: a visszaállított titok minden rendszeren érvényes, ahol a felhasználó újra felhasználta.

Az MPPE ugyanezt a gyengeséget örökli, mivel kulcsai ebből a cseréből származnak, és nem adja a modern AEAD-rejtjel csomagonkénti integritását és ismétlődéskezelését. Az a munkamenet, amely tisztán hitelesít, csak a beállított ellenőrzésekkel való kompatibilitást bizonyította, semmi többet.

Sem egy rövid ebédszünet, sem a felhasználók kis száma nem alakít egy kriptográfiai tulajdonságot szabályzati tulajdonsággá.

Egyetlen karbantartási ablakban hajtsa végre a migrációt

Állítsa fel a cserét, bizonyítsa egy kísérleti csoporttal, majd állítsa le a régi figyelőt ahelyett, hogy csendes tartalékként hagyná. Az a tartalék, amelyet még mindig mindenki elér, nem migráció, és pontosan azoknak a felhasználóknak tartja elérhetővé a gyenge cserét, akik soha nem veszik a fáradságot, hogy átálljanak.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Ugyanabban az ablakban zárja le a tűzfal útvonalát. A GRE-nek nincs megjegyzendő portja, ezért a 47-es protokollt szám szerint engedélyező szabály könnyen elkerüli a figyelmet, és a szolgáltatást akkor is elérhetővé teszi, amikor a démon már nincs. Jegyezze fel az eltávolított szabályt, korábbi helyét és az okot, hogy egy későbbi változásvizsgálat véletlenül se állítsa vissza.

A hitelesítő adatokat a konfigurációtól külön kezelje. Az ügyfélprofil eltávolítása nem visszavonás, és egy fiók, amely máshol még hitelesít, nincs kivezetve.

Ellenőrizze, hogy a csere elvégzi-e azokat a feladatokat, amelyeket a PPTP végzett

Az ellenőrzőlista nem az, hogy „csatlakozik-e”. Az, hogy a hitelesítés, a címkiosztás, a DNS-feloldás, az útvonalválasztás, az újracsatlakozási viselkedés és a társ-ellenőrzés mind tart-e a csere alatt. Tesztelje mindegyiket egy kísérleti eszközön, ebben a sorrendben, és írja a megfigyelt eredményt az elvárás mellé.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Az interfészen lévő cím bizonyítja, hogy a tárgyalás befejeződött. Nem bizonyítja, hogy a távoli fél engedélyezte a várt útvonalat, és a fenti lekérdezés csak erre a hosztra válaszol, nem egy továbbított LAN-ra. A feloldó válasza a feloldó elérhetőségét bizonyítja, nem azt, hogy az osztott DNS-szabályzat a megfelelő neveket küldi oda.

Az újracsatlakozást utoljára ellenőrizze, mert ott regresszál a legtöbb csere: altassa a laptopot, váltson hálózatot, és erősítse meg, hogy az alagút elavult útvonalak nélkül áll helyre.

Visszaállás, visszavonás és a hátrahagyott feljegyzés

A visszaállás szolgáltatást állít helyre; biztonságot nem állít helyre, és ezt a különbséget hangosan ki kell mondani, mielőtt az ablak kinyílik. Ha az új útvonal meghibásodik, második modern végponton vagy ideiglenes átjárón keresztül hozza vissza a felhasználókat, nem úgy, hogy mindenkinek újra bekapcsolja a PPTP-t. Egy vészútvonal megtartása a régi protokollon kiterjeszti azt a kitettséget, amelyet éppen dokumentált.

Az átállás után vonja vissza a PPTP-n keresztül hitelesített fiókokat, hagyja lejárni a tárolt profiljaikat, és erősítse meg, hogy a GRE-szabály eltűnt minden peremeszközről, beleértve azt a katasztrófa-helyreállítási másolatot, amelyre senki sem emlékszik.

Hagyjon rövid feljegyzést: a talált protokollokat, az egyes figyelők leállásának dátumát, a csere által támogatott kliensverziókat és azt a tulajdonost, aki újra megnyithatja a döntést. A jelszóhigiénia utána is számít, de mint higiénia egy olyan protokollon, amely megérdemli, nem érvként a régi életben tartása mellett.