Röng VPN-tilraun: hvaða tegund skilríkja fór yfir landamærin?
Misheppnuð tilraun kann að hafa sent ekkert eða afhent lykilorð þeim sem svaraði. Flokkaðu gagnagripinn áður en þú ákveður hvað á að afturkalla.
Þú tengdist röngu VPN og biðlarinn tilkynnti bilun. Hvort það skipti máli fer eftir því hvað fór yfir línuna fyrir bilunina, og orðið sjálft segir þér það ekki. Sum handtök bera alls ekki leyndarmál, á meðan önnur afhenda lykilorð hverjum þeim sem svaraði vistfanginu. Greindu hvort tilvikanna tveggja átti sér stað áður en þú afturkallar nokkuð.
Stoppaðu og geymdu sönnunargögnin
Geymdu biðlaraskrána, valda sniðið, vistfangið sem þú slóst inn og áætlaðan tíma. Skrifaðu þau niður utan biðlarans, því breyting á sniði eða enduruppsetning eyðileggur skráninguna sem þú munt þurfa. Stöðvaðu hverja frekari tilraun þar til endapunkturinn hefur verið staðfestur um slóð sem þú stjórnar.
Birtu aldrei óhreinsað snið eða skrá á opinberu spjallborði meðan þú spyrð hvort tilraunin hafi verið örugg. Þessi skjöl innihalda oft slóð að einkalykli, innra hýsilnafn eða tákn, svo hreinsaðu fyrst og deildu með stjórnandanum sem á endapunktinn.
Hvað getur farið yfir landamærin
Mest ruglið kemur af því að meðhöndla hverja bilun sem eina tegund atburðar. Fjórir ólíkir hlutir geta náð til hinnar hliðarinnar: opinbert skilríki, undirskrift sem sannar að lykill hafi verið notaður, lykilorð eða einnota kóði, og skrá sem þú valdir sjálf. Hver hefur sína afleiðingu og sína lagfæringu. Flokkun gagnagripsins er skrefið sem ræður öllu sem á eftir kemur.
Skilríkjatilfellið er mildast, því það sem ferðast er opið að hönnun og auðkennisreitir þess eru þegar sýnilegir hverjum þeim sem tengist. Undirskrift yfir áskorun segir að lykillinn hafi verið notaður, ekki að hann hafi verið sendur. Lykilorð er hið gagnstæða: sá sem tekur við því getur prófað það annars staðar, og þjónusta sem er byggð til að sannprófa lykilorð er fyrirhugaður viðtakandi einmitt þess gildis.
Sönnun lykils er ekki upphleðsla lykils
Nútíma TLS heldur þessum tveimur hugmyndum viljandi aðskildum. RFC 8446 lýsir CertificateVerify-skilaboðunum, þar sem biðlarinn undirritar áskorun með einkalykli sem passar við skilríki hans. Undirskriftin sannar eign án þess að bera lykilinn, þess vegna er tilraun sem er auðkennd með skilríki ekki sjálfkrafa lyklaöflun.
Þessi huggun hefur takmörk sem vert er að nefna. Sönnunin sýnir að lykillinn tók þátt í þeirri skiptingu og segir ekkert um hvað staðbundið forrit á vélinni kann að hafa þegar lesið. Hún segir líka ekkert um hversu langt óþekkt tilraun komst í raun, svo skráin skiptir enn meira máli en kenningin.
Lykilorð fylgja gjörólíku traustslíkani. Safnari sem er stilltur með utanaðkomandi sannprófanda getur sent fram lagið gildið, þannig að að taka við því er fyrirhuguð virkni og röng áfangastaður er raunveruleg afhjúpun en ekki fræðileg.
Endurgerðu tilraunina úr skránni
Fjögur staðreyndir endurgerða tilraunina: vistfangið sem raunverulega var haft samband við, hvort auðkenni netþjónsins var staðfest, hvaða auðkenningaraðferð var valin og hvar ferlið stöðvaðist. Hver þeirra birtist í biðlaraskrá, og hver útilokar aðra sögu. Villa um slóðir eða úthlutað vistfang segir ekkert um hvað var þegar á línunni, því auðkenningin kann að hafa lokið áður en uppsetning jarðgangsins brást.
Dragðu þessar staðreyndir úr eigin skrá biðlarans frekar en úr minni. Þröngt sía heldur úttakinu nógu stuttu til að hreinsa og deila:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Skiptu ekki hýsilnafninu út fyrir neitt af þessu. Þekkt nafn, núverandi DNS-svar og skilríkjaviðvörun sem hugbúnaðurinn sýnir lýsa nútíðinni en ekki fyrri tengingunni. Lykilorðsbeiðni er heldur ekki sönnun þess að eitthvað hafi verið sent, því biðlarinn kann að hafa brugðist áður en hann sendi hana.
Ákveddu, og breyttu svo
Ákvörðunin leiðir af gagnagripnum, ekki af því hversu ógnvekjandi bilunin virtist. Lestu fjórar línur gagnvart staðreyndunum sem þú endurgerðir:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Ef lykilorð náði til óætlaðrar þjónustu skaltu breyta því um stjórnleið reikningsins og athuga hvar annars það var endurnotað. Útrunninn einnota kóði lokar þeirri slóð, en lota sem var búin til með honum gerir það ekki, svo biddu auðkennisstjórnandann að fara yfir lotur. Ef lykilskrá var í raun hlaðið upp skaltu fylgja afturköllunarferli útgáfuaðilans í stað þess að bíða eftir sönnun um misnotkun.
Skrifaðu svo niður takmarkaða niðurstöðu: hvað var sent, hvað er enn óþekkt og hvaða skilríki þarfnast aðgerðar. Það er skráningin sem síðari endurskoðun mun biðja um, og hún er nytsamlegri en hvor sem er af þeim tveimur þægilegu niðurstöðum.