Percobaan VPN yang salah: kelas kredensial mana yang menyeberang?
Percobaan yang gagal mungkin tidak mengirim apa pun, atau menyerahkan kata sandi kepada siapa pun yang menjawab. Golongkan artefaknya sebelum memutuskan apa yang dicabut.
Anda terhubung ke VPN yang salah, dan klien melaporkan kegagalan. Apakah itu penting bergantung pada apa yang menyeberang kabel sebelum kegagalan, dan kata itu sendiri tidak memberitahunya. Sebagian jabat tangan tidak membawa rahasia sama sekali, sementara yang lain menyerahkan kata sandi kepada siapa pun yang menjawab alamat itu. Tentukan mana dari dua hal itu yang terjadi sebelum Anda mencabut apa pun.
Berhenti dan simpan buktinya
Simpan log klien, profil yang dipilih, alamat yang Anda ketik, dan perkiraan waktunya. Catat di luar klien, karena penyuntingan profil atau pemasangan ulang menghancurkan catatan yang akan Anda butuhkan. Tahan setiap percobaan berikutnya sampai titik akhir terkonfirmasi melalui jalur yang Anda kendalikan.
Jangan pernah memasang profil atau log yang belum disunting di forum publik saat menanyakan apakah percobaan itu aman. Dokumen tersebut sering memuat jalur kunci privat, nama host internal, atau token, jadi sunting dulu lalu bagikan kepada administrator yang memiliki titik akhir.
Apa yang bisa menyeberangi batas
Sebagian besar kebingungan muncul karena setiap kegagalan diperlakukan sebagai satu jenis peristiwa. Empat hal berbeda bisa mencapai sisi lain: sertifikat publik, tanda tangan yang membuktikan kunci dipakai, kata sandi atau kode sekali pakai, dan berkas yang Anda pilih sendiri. Masing-masing punya akibat dan perbaikannya sendiri. Menggolongkan artefaknya adalah langkah yang menentukan semua sesudahnya.
Kasus sertifikat paling ringan, karena yang berpindah memang publik secara desain dan bidang pengenalnya sudah terlihat oleh siapa pun yang terhubung. Tanda tangan atas tantangan menyatakan kunci dipakai, bukan dikirim. Kata sandi adalah kasus sebaliknya: siapa pun yang menerimanya bisa mencobanya di tempat lain, dan layanan yang dibangun untuk memverifikasi kata sandi adalah penerima yang dimaksud untuk nilai itu.
Bukti kunci bukan unggahan kunci
TLS modern sengaja memisahkan kedua gagasan itu. RFC 8446 menjabarkan pesan CertificateVerify, tempat klien menandatangani tantangan dengan kunci privat yang cocok dengan sertifikatnya. Tanda tangan membuktikan kepemilikan tanpa membawa kuncinya, karena itu percobaan yang diautentikasi sertifikat tidak otomatis berarti kunci bocor.
Penenteraman itu punya batas yang perlu disebut. Bukti menunjukkan kunci ikut dalam pertukaran itu, dan tidak mengatakan apa pun tentang apa yang mungkin sudah dibaca program lokal di mesin. Bukti juga tidak mengatakan seberapa jauh percobaan tak dikenal benar-benar sampai, karena itu log tetap lebih penting daripada teorinya.
Kata sandi mengikuti model kepercayaan yang sama sekali berbeda. Konsentrator yang dikonfigurasi dengan pemverifikasi eksternal dapat meneruskan nilai yang dikirim, jadi menerimanya adalah fungsi yang dimaksud dan tujuan yang salah merupakan paparan nyata, bukan teoretis.
Bangun ulang percobaan dari log
Empat fakta merekonstruksi percobaan: alamat yang benar-benar dihubungi, apakah identitas server divalidasi, metode autentikasi mana yang dipilih, dan di mana prosesnya berhenti. Masing-masing muncul di log klien, dan masing-masing menyingkirkan cerita yang berbeda. Galat tentang rute atau alamat yang diberikan tidak mengatakan apa pun tentang apa yang sudah ada di kabel, sebab autentikasi mungkin sudah selesai sebelum penyiapan terowongan gagal.
Ambil fakta itu dari log klien sendiri, bukan dari ingatan. Saringan sempit menjaga keluarannya cukup pendek untuk disunting dan dibagikan:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Jangan mengganti nama host dengan salah satu dari ini. Nama yang familier, jawaban DNS saat ini, dan peringatan sertifikat yang ditampilkan perangkat lunak menggambarkan masa kini, bukan koneksi sebelumnya. Permintaan kata sandi pun bukan bukti bahwa sesuatu telah dikirim, karena klien bisa saja gagal sebelum mengirimkannya.
Putuskan, lalu bertindak
Keputusan mengikuti artefaknya, bukan seberapa mengkhawatirkan kegagalan itu tampak. Bacalah keempat baris terhadap fakta yang Anda bangun ulang:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Jika kata sandi mencapai layanan yang tidak dimaksudkan, ubahlah melalui kanal pengelolaan akun dan periksa di mana lagi kata sandi itu dipakai ulang. Kode sekali pakai yang kedaluwarsa menutup jalur itu, tetapi sesi yang dibuat dengannya tidak, jadi mintalah administrator identitas meninjau sesi. Jika berkas kunci benar-benar diunggah, ikuti proses pencabutan organisasi penerbit alih-alih menunggu bukti penyalahgunaan.
Lalu tuliskan hasil yang terbatas: apa yang dikirim, apa yang masih tidak diketahui, dan kredensial mana yang perlu tindakan. Catatan itulah yang akan diminta tinjauan kemudian, dan itu lebih berguna daripada salah satu dari dua kesimpulan yang nyaman.