PPTP/MS-CHAPv2-ის გაუქმება: ხელმძღვანელი ძველი VPN-ისთვის

ოცსიმბოლოიანი პაროლები, რომლებიც ყოველთვიურად იცვლება და სეიფში ინახება, MS-CHAPv2-ზე მომუშავე PPTP სერვერს თანამედროვე VPN-ად არ აქცევს. პაროლი არის გაცვლის შეყვანა, რომლის სისუსტე თავად გაცვლაშია. ეს ხელმძღვანელი მათთვისაა, ვინც ეს სერვერი მემკვიდრეობით მიიღო და მომხმარებლები უნდა გადაიყვანოს, ისე რომ არ გაწყვიტოს მასზე დამოკიდებული საიტი. ნაბიჯები თანმიმდევრობით შეასრულეთ, რადგან თითოეული ტოვებს ჩანაწერს, რომელიც დაგჭირდებათ, როცა ვინმე იკითხავს, რატომ შეიცვალა წვდომა უეცრად.

ჩამოწერეთ სტეკი, სანამ რამეს შეეხებით

სამი ფენა ერწყმის სიტყვა PPTP-ს და თითოეული თავისებურად ფუჭდება. გვირაბი თავად PPTP-ია, GRE პლუს TCP 1723. აუთენტიფიკაცია არის ის PPP მეთოდი, რომელსაც სერვერი გვთავაზობს, აქ MS-CHAPv2. კავშირის დაცვა MPPE-ია, რომლის გასაღებებიც ამ აუთენტიფიკაციის გაცვლიდან მიიღება. სამივეს დასახელება ხელს უშლის, რომ მოგვიანო შესწორება არასწორ ფენაზე დაჯდეს.

წაიკითხეთ ცოცხალი კონფიგურაცია ვიკი გვერდის ნდობის ნაცვლად და ჩაინიშნეთ ფაილი, მსმენელი და ბოლო აუთენტიფიცირებული სესიები.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows-ის დისტანციური წვდომის როლში იგივე ინვენტარი ორი ბრძანებიდან მოდის და მეორე მნიშვნელოვანია, რადგან როლს შეუძლია ერთდროულად რამდენიმე მეთოდის გამოცხადება, მაშინ როცა ველზე მყოფი კლიენტები ყოველთვის მხოლოდ ყველაზე სუსტზე თანხმდებიან.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

გადაწყვიტეთ, რას ატარებს გვირაბი დღეს სინამდვილეში

ჩამოთვალეთ მომხმარებლები ჩანაცვლების არჩევამდე: მოძრავი ლეპტოპები, ფილიალის როუტერი, გადახდის ტერმინალი, ველის პლანშეტების ნაკრები. მომხმარებელი, რომელსაც მხოლოდ ერთ შიდა ჰოსტამდე სჭირდება მისვლა, ადვილად გადაადგილდება. აპარატურაში ჩაშენებულ მომხმარებელს, რომელსაც ხელახლა ვერ ჩაწერთ, შესაძლოა კლიენტის განახლების ნაცვლად შუამავალი კარიბჭე დასჭირდეს, და ეს გადაწყვეტილება გეგმას ეკუთვნის, არა გადასვლის შუაში.

შემდეგ იკითხეთ, რას მიიღებდა თავდამსხმელი, რომელსაც შესვლის გაცვლის დაკვირვება ან მასზე გავლენა შეუძლია. MS-CHAPv2-ის შემთხვევაში პასუხი მოიცავს მასალას, რომელიც მომხმარებლის პაროლის ოფლაინ აღდგენის საშუალებას იძლევა, და სწორედ ამიტომ სიგრძე და როტაცია დიზაინს არ არეგულირებს: აღდგენილი საიდუმლო ძალაშია ყველა სისტემაში, სადაც მომხმარებელმა ის ხელახლა გამოიყენა.

MPPE იმავე სისუსტეს მემკვიდრეობით იღებს, რადგან მისი გასაღებები ამ გაცვლიდან მოდის, და ის არ გაძლევთ თანამედროვე AEAD შიფრის პაკეტობრივ მთლიანობასა და გამეორების ქცევას. სესია, რომელიც სუფთად აუთენტიფიცირდება, მხოლოდ კონფიგურირებულ შემოწმებებთან თავსებადობა დაამტკიცა და მეტი არაფერი.

არც მოკლე სადილის შესვენება და არც მომხმარებლების მცირე რაოდენობა აქცევს კრიპტოგრაფიულ თვისებას პოლიტიკურ თვისებად.

მიგრაცია ერთი ტექნიკური მომსახურების ფანჯარაში შეასრულეთ

აამჯენეთ ჩანაცვლება, დაამტკიცეთ ის ერთი საპილოტე ჯგუფით, შემდეგ კი გააჩერეთ ძველი მსმენელი, ნაცვლად იმისა, რომ ის ჩუმ სარეზერვო ვარიანტად დატოვოთ. სარეზერვო, რომელზეც ყველას ჯერ კიდევ შეუძლია მისვლა, მიგრაცია არ არის და სუსტ გაცვლას ღიად ტოვებს სწორედ იმ მომხმარებლებისთვის, რომლებიც არასოდეს იწუხებენ გადასვლას.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

იმავე ფანჯარაში დახურეთ ფაიერვოლის გზა. GRE-ს არ აქვს დასამახსოვრებელი პორტი, ამიტომ 47 პროტოკოლის ნომრით დაშვების წესი ადვილად გამორჩევა და სერვისს ხელმისაწვდომად ტოვებს დემონის წასვლის შემდეგაც. ჩაიწერეთ წაშლილი წესი, მისი წინა პოზიცია და მიზეზი, რათა მოგვიანო ცვლილებების გადახედვამ ის შემთხვევით არ აღადგინოს.

სერტიფიკატები კონფიგურაციისგან ცალკე მართეთ. კლიენტის პროფილის წაშლა გაუქმება არ არის, და ანგარიში, რომელიც სხვაგან ჯერ კიდევ აუთენტიფიცირდება, ამოღებული არ არის.

შეამოწმეთ, რომ ჩანაცვლება ასრულებს იმ სამუშაოს, რომელსაც PPTP ასრულებდა

საკონტროლო სია არ არის „უერთდება თუ არა“. ის არის, ნარჩუნდება თუ არა აუთენტიფიკაცია, მისამართების განაწილება, DNS-ის ამოხსნა, მარშრუტის შერჩევა, ხელახალი დაკავშირების ქცევა და პარტნიორის შემოწმება ჩანაცვლების ქვეშ. გამოსცადეთ თითოეული საპილოტე მოწყობილობაზე, ამ თანმიმდევრობით, და დაკვირვებული შედეგი მოლოდინის გვერდით ჩაწერეთ.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

მისამართი ინტერფეისზე ადასტურებს, რომ მოლაპარაკება დასრულდა. ის არ ადასტურებს, რომ შორეულმა მხარემ თქვენ მიერ მოსალოდნელი მარშრუტი დააუფლა, და ზემოთ მოცემული მოთხოვნა მხოლოდ ამ ჰოსტისთვის პასუხობს, არა გადამისამართებული LAN-ისთვის. რეზოლვერის პასუხი ადასტურებს რეზოლვერის ხელმისაწვდომობას, არა იმას, რომ გაყოფილი DNS-ის პოლიტიკა სწორ სახელებს აგზავნის იქ.

ხელახალი დაკავშირება ბოლოს შეამოწმეთ, რადგან სწორედ იქ უკან იხევს ჩანაცვლებების უმეტესობა: ჩააძინეთ ლეპტოპი, შეცვალეთ ქსელები და დაადასტურეთ, რომ გვირაბი ძველი მარშრუტების დატოვების გარეშე აღდგება.

უკან დაბრუნება, გაუქმება და თქვენ მიერ დატოვებული ჩანაწერი

უკან დაბრუნება სერვისს აღადგენს; ის უსაფრთხოებას არ აღადგენს, და ეს განსხვავება ხმამაღლა უნდა ითქვას სანამ ფანჯარა გაიხსნება. თუ ახალი გზა ვერ იმუშავებს, მომხმარებლები დააბრუნეთ მეორე თანამედროვე ბოლო წერტილით ან დროებითი კარიბჭით, და არა ყველასთვის PPTP-ის ხელახალი ჩართვით. ძველ პროტოკოლზე ერთი საგანგებო გზის შენახვა აფართოებს იმ ზემოქმედებას, რომელიც ახლახან დააფიქსირეთ.

გადასვლის შემდეგ გააუქმეთ PPTP-ით აუთენტიფიცირებული ანგარიშები, მიეცით მათ შენახულ პროფილებს ვადის გასვლის საშუალება და დაადასტურეთ, რომ GRE წესი გაქრა ყველა კიდური მოწყობილობიდან, მათ შორის იმ კატასტროფის აღდგენის ასლიდან, რომელიც არავის ახსოვს.

დატოვეთ მოკლე ჩანაწერი: პოვნილი პროტოკოლები, თითოეული მსმენელის გაჩერების თარიღი, ჩანაცვლების მიერ მხარდაჭერილი კლიენტის ვერსიები და ის მფლობელი, რომელსაც გადაწყვეტილების ხელახლა გახსნა შეუძლია. პაროლის ჰიგიენა შემდეგშიც მნიშვნელოვანია, მაგრამ როგორც ჰიგიენა იმ პროტოკოლზე, რომელიც ამას იმსახურებს, და არა როგორც არგუმენტი ძველის ცოცხლად შესანარჩუნებლად.