Սխալ VPN փորձ. ո՞ր նույնականացման դասն անցավ սահմանը
Ձախողված փորձը կարող է ընդհանրապես ոչինչ չուղարկած լինել, կամ գաղտնաբառը հանձնած լինել նրան, ով պատասխանել է։ Նախքան չեղարկելը որոշելը դասակարգեք ապացույցը։
Դուք միացել եք սխալ VPN-ի, և հաճախորդը հաղորդել է ձախողման մասին։ Արդյոք դա նշանակություն ունեցավ, կախված է նրանից, թե ինչ անցավ գծով մինչև ձախողումը, և բառն ինքը դա ձեզ չի ասում։ Որոշ ձեռքսեղմումներ ընդհանրապես գաղտնիք չեն տեղափոխում, իսկ մյուսները գաղտնաբառը հանձնում են հասցեին պատասխանած յուրաքանչյուրին։ Մինչև ինչ-որ բան չեղարկելը պարզեք, թե այդ երկուսից որն է տեղի ունեցել։
Կանգ առեք և պահպանեք ապացույցները
Պահպանեք հաճախորդի մատյանը, ընտրված պրոֆիլը, ձեր մուտքագրած հասցեն և մոտավոր ժամանակը։ Գրեք դրանք հաճախորդից դուրս ինչ-որ տեղ, որովհետև պրոֆիլի խմբագրումը կամ վերատեղադրումը ոչնչացնում է ձեզ անհրաժեշտ գրառումը։ Դադարեցրեք ցանկացած հետագա փորձ, քանի դեռ վերջնակետը հաստատված չէ ձեր վերահսկած ուղով։
Երբեք չհրապարակեք չմշակված պրոֆիլ կամ մատյան հանրային ֆորումում՝ հարցնելով, թե արդյոք փորձը անվտանգ էր։ Այդ փաստաթղթերը հաճախ պարունակում են մասնավոր բանալու ուղի, ներքին հոսթի անուն կամ թոքեն, ուստի նախ մշակեք և կիսվեք վերջնակետի տիրոջ հետ։
Ինչը կարող է անցնել սահմանը
Խառնաշփոթի մեծ մասը գալիս է նրանից, որ յուրաքանչյուր ձախողում դիտվում է որպես մեկ տեսակի դեպք։ Չորս տարբեր բաներ կարող են հասնել մյուս կողմը. հանրային վկայական, ստորագրություն, որը ցույց է տալիս, որ բանալին օգտագործվել է, գաղտնաբառ կամ մեկանգամյա կոդ, և ֆայլ, որը դուք ինքներդ եք ընտրել։ Յուրաքանչյուրն ունի իր հետևանքը և իր վերանորոգումը։ Ապացույցի դասակարգումը այն քայլն է, որը որոշում է դրանից հետո ամեն ինչ։
Վկայականի դեպքն ամենամեղմն է, որովհետև ճամփորդողը նախագծումից ի վեր հանրային է, և նրա նույնականացման դաշտերն արդեն տեսանելի են միացող յուրաքանչյուրին։ Մարտահրավերի վրա դրված ստորագրությունն ասում է, որ բանալին օգտագործվել է, ոչ թե ուղարկվել։ Գաղտնաբառը հակառակ դեպքն է. ով ստանում է այն, կարող է փորձել այլ տեղ, և գաղտնաբառերը ստուգելու համար կառուցված ծառայությունը հենց այդ արժեքի նախատեսված ստացողն է։
Բանալու ապացույցը բանալու բեռնում չէ
Ժամանակակից TLS-ը դիտավորությամբ առանձնացնում է այդ երկու գաղափարները։ RFC 8446-ը նկարագրում է CertificateVerify հաղորդագրությունը, որտեղ հաճախորդը ստորագրում է մարտահրավերը իր վկայականին համապատասխանող մասնավոր բանալով։ Ստորագրությունը ցույց է տալիս տիրապետում՝ առանց բանալին կրելու, այդ պատճառով վկայականով նույնականացված փորձը ինքնաբերաբար բանալու փոխզիջում չէ։
Այդ հանգստացումն ունի սահման, որը արժե նշել։ Ապացույցը ցույց է տալիս, որ բանալին մասնակցել է այդ փոխանակմանը, և ոչինչ չի ասում այն մասին, թե ինչ կարող է մեքենայի տեղական ծրագիրն արդեն կարդացած լինել։ Այն նաև ոչինչ չի ասում այն մասին, թե անհայտ փորձն իրականում որքան հեռու է գնացել, ուստի մատյանը դեռ ավելի կարևոր է, քան տեսությունը։
Գաղտնաբառերը հետևում են բոլորովին այլ վստահության մոդելի։ Արտաքին ստուգողով կազմաձևված կենտրոնացուցիչը կարող է փոխանցել ներկայացված արժեքը, ուստի այն ստանալը նախատեսված գործառույթն է, իսկ սխալ նպատակակետը իրական բացահայտում է, ոչ թե տեսական։
Վերստեղծեք փորձը մատյանից
Չորս փաստ վերստեղծում են փորձը. փաստացի կապված հասցեն, արդյոք սերվերի ինքնությունը ստուգվել է, որ նույնականացման մեթոդն է ընտրվել, և որտեղ է կանգ առել գործընթացը։ Յուրաքանչյուրը երևում է հաճախորդի մատյանում, և յուրաքանչյուրը բացառում է այլ պատմություն։ Երթուղիների կամ հատկացված հասցեի մասին սխալը ոչինչ չի ասում այն մասին, թե ինչ արդեն գծի վրա էր, որովհետև նույնականացումը կարող էր ավարտվել մինչև թունելի կարգավորման ձախողումը։
Այդ փաստերը քաղեք հաճախորդի սեփական մատյանից, ոչ թե հիշողությունից։ Նեղ զտիչը ելքը պահում է բավական կարճ մշակելու և կիսվելու համար:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Ոչինչ չփոխարինեք հոսթի անունով։ Ծանոթ անունը, ընթացիկ DNS պատասխանը և ծրագրի ցուցադրած վկայականի նախազգուշացումը նկարագրում են ներկան, ոչ թե նախկին կապը։ Գաղտնաբառի հուշումը նույնպես ապացույց չէ, որ ինչ-որ բան ուղարկվել է, քանի որ հաճախորդը կարող էր ձախողվել մինչև այն ներկայացնելը։
Որոշեք, ապա գործեք
Որոշումը բխում է ապացույցից, ոչ թե նրանից, թե որքան տագնապալի էր թվում ձախողումը։ Կարդացեք չորս տողերը ձեր վերստեղծած փաստերի դեմ:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Եթե գաղտնաբառը հասել է չնախատեսված ծառայության, փոխեք այն հաշվի կառավարման ուղով և ստուգեք, թե որտեղ էլ է այն կրկին օգտագործվել։ Ժամկետանց մեկանգամյա կոդը փակում է այդ ուղին, բայց դրանով ստեղծված սեսիան՝ ոչ, ուստի խնդրեք ինքնության ադմինիստրատորին վերանայել սեսիաները։ Եթե բանալու ֆայլն իսկապես բեռնվել է, հետևեք թողարկող կազմակերպության չեղարկման գործընթացին՝ չարաշահման ապացույցի սպասելու փոխարեն։
Ապա գրեք սահմանափակ արդյունքը. ինչ է ուղարկվել, ինչն է մնում անհայտ, և որ նույնականացնողն է գործողություն պահանջում։ Այդ գրառումը կպահանջի ավելի ուշ վերանայումը, և այն ավելի օգտակար է, քան երկու հարմար եզրակացություններից որևէ մեկը։