არასწორი VPN მცდელობა: რომელი სერტიფიკატის კლასმა გადაკვეთა საზღვარი?
წარუმატებელმა მცდელობამ შესაძლოა საერთოდ არაფერი გაგზავნა, ან პაროლი გადასცა მას, ვინც უპასუხა. სანამ გადაწყვეტთ, რა გააუქმოთ, დაალაგეთ არტეფაქტი.
თქვენ არასწორ VPN-ს დაუკავშირდით და კლიენტმა წარუმატებლობა შეატყობინა. მნიშვნელობა ჰქონდა თუ არა, დამოკიდებულია იმაზე, რა გაიარა ხაზზე წარუმატებლობამდე, და თავად სიტყვა ამას არ გიყვებათ. ზოგი ხელის ჩამორთმევა საერთოდ არ ატარებს საიდუმლოს, ზოგი კი პაროლს გადასცემს ყველას, ვინც მისამართს უპასუხა. სანამ რამეს გააუქმებთ, დაადგინეთ, ამ ორიდან რომელი მოხდა.
შეჩერდით და შეინახეთ მტკიცებულებები
შეინახეთ კლიენტის ჟურნალი, არჩეული პროფილი, თქვენ მიერ აკრეფილი მისამართი და სავარაუდო დრო. ჩაწერეთ ისინი კლიენტის გარეთ, რადგან პროფილის რედაქტირება ან ხელახლა დაყენება ანადგურებს იმ ჩანაწერს, რომელიც დაგჭირდებათ. შეაჩერეთ ყოველი შემდგომი მცდელობა, სანამ საბოლოო წერტილი არ დადასტურდება თქვენს მიერ კონტროლირებადი გზით.
არასოდეს გამოაქვეყნოთ დაურედაქტირებული პროფილი ან ჟურნალი საჯარო ფორუმზე, სანამ ეკითხებით, უსაფრთხო იყო თუ არა მცდელობა. ასეთ დოკუმენტებში ხშირად არის კერძო გასაღების გზა, შიდა ჰოსტის სახელი ან ტოკენი, ამიტომ ჯერ დაარედაქტირეთ და შემდეგ გაუზიარეთ ადმინისტრატორს, რომელიც ფლობს საბოლოო წერტილს.
რა შეიძლება გადაკვეთოს საზღვარი
დაბნეულობის უმეტესი ნაწილი იმიდან მოდის, რომ ყოველი წარუმატებლობა ერთი ტიპის მოვლენად განიხილება. ოთხი განსხვავებული რამ შეიძლება მიაღწიოს მეორე მხარეს: საჯარო სერტიფიკატი, ხელმოწერა, რომელიც ადასტურებს გასაღების გამოყენებას, პაროლი ან ერთჯერადი კოდი, და ფაილი, რომელიც თავად აირჩიეთ. თითოეულს თავისი შედეგი და თავისი შესწორება აქვს. არტეფაქტის დალაგება ის ნაბიჯია, რომელიც შემდეგ ყველაფერს წყვეტს.
სერტიფიკატის შემთხვევა ყველაზე მსუბუქია, რადგან მოგზაური რამ დიზაინით საჯაროა და მისი იდენტიფიკაციური ველები უკვე ხილულია ყველასთვის, ვინც უკავშირდება. გამოწვევაზე დადებული ხელმოწერა ამბობს, რომ გასაღები გამოიყენეს, და არა რომ გაგზავნეს. პაროლი საპირისპირო შემთხვევაა: ვინც მიიღებს, შეუძლია სხვაგან სცადოს, და პაროლების შესამოწმებლად აშენებული სერვისი სწორედ ამ მნიშვნელობის განსაზღვრული მიმღებია.
გასაღების მტკიცებულება გასაღების ატვირთვა არ არის
თანამედროვე TLS განზრახ ჰყოფს ამ ორ იდეას. RFC 8446 აღწერს CertificateVerify შეტყობინებას, სადაც კლიენტი ხელს აწერს გამოწვევას მისი სერტიფიკატის შესაბამისი კერძო გასაღებით. ხელმოწერა ადასტურებს ფლობას გასაღების გადატანის გარეშე, ამიტომ სერტიფიკატით ავთენტიფიცირებული მცდელობა ავტომატურად გასაღების კომპრომეტირება არ არის.
ამ დამშვიდებას აქვს ზღვარი, რომლის თქმაც ღირს. მტკიცებულება გვიჩვენებს, რომ გასაღები მონაწილეობდა ამ გაცვლაში, და არაფერს ამბობს იმაზე, თუ რა შეიძლება უკვე წაეკითხა მოწყობილობაზე ადგილობრივ პროგრამას. ასევე არაფერს ამბობს იმაზე, რამდენად შორს წავიდა უცნობი მცდელობა, ამიტომ ჟურნალი კვლავ უფრო მნიშვნელოვანია, ვიდრე თეორია.
პაროლები სრულიად სხვა ნდობის მოდელს მიჰყვება. გარე გადამმოწმებლით კონფიგურირებულ კონცენტრატორს შეუძლია წარდგენილი მნიშვნელობა გადასცეს, ამიტომ მისი მიღება განსაზღვრული ფუნქციაა, ხოლო არასწორი დანიშნულება თეორიული კი არა, რეალური გამჟღავნებაა.
აღადგინეთ მცდელობა ჟურნალიდან
ოთხი ფაქტი აღადგენს მცდელობას: რეალურად დაკავშირებული მისამართი, დადასტურდა თუ არა სერვერის იდენტობა, რომელი ავთენტიფიკაციის მეთოდი აირჩიეს, და სად შეჩერდა პროცესი. თითოეული კლიენტის ჟურნალში ჩანს და თითოეული განსხვავებულ ისტორიას გამორიცხავს. შეცდომა მარშრუტებზე ან მინიჭებულ მისამართზე არაფერს ამბობს იმაზე, რაც უკვე ხაზზე იყო, რადგან ავთენტიფიკაცია შეიძლება დასრულებულიყო გვირაბის გამართვის წარუმატებლობამდე.
ამ ფაქტებს ამოიღეთ თავად კლიენტის ჟურნალიდან და არა მეხსიერებიდან. ვიწრო ფილტრი გამოსავალს საკმარისად მოკლეს ინახავს რედაქტირებისა და გაზიარებისთვის:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30არც ერთი მათგანი არ შეცვალოთ ჰოსტის სახელით. ნაცნობი სახელი, მიმდინარე DNS პასუხი და პროგრამის მიერ ნაჩვენები სერტიფიკატის გაფრთხილება აწმყოს აღწერს და არა წინა კავშირს. პაროლის შეკითხვა ასევე არ არის მტკიცებულება, რომ რამე გაიგზავნა, რადგან კლიენტი შეიძლება წარუმატებელი ყოფილიყო მის გაგზავნამდე.
გადაწყვიტეთ, შემდეგ იმოქმედეთ
გადაწყვეტილება არტეფაქტიდან მოდის და არა იმიდან, რამდენად ამაღელვებელი ჩანდა წარუმატებლობა. წაიკითხეთ ოთხი სტრიქონი თქვენ მიერ აღდგენილი ფაქტების წინააღმდეგ:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
თუ პაროლი არასასურველ სერვისამდე მივიდა, შეცვალეთ ის ანგარიშის მართვის არხით და შეამოწმეთ, სად კიდევ იქნა ხელახლა გამოყენებული. ვადაგასული ერთჯერადი კოდი კეტავს ამ გზას, მაგრამ მისით შექმნილი სესია არა, ამიტომ სთხოვეთ იდენტობის ადმინისტრატორს სესიების გადახედვა. თუ გასაღების ფაილი ნამდვილად ატვირთულა, მიჰყევით გამომცემი ორგანიზაციის გაუქმების პროცესს და ნუ დაელოდებით ბოროტად გამოყენების მტკიცებულებას.
შემდეგ ჩაწერეთ შეზღუდული შედეგი: რა გაიგზავნა, რა რჩება უცნობი და რომელი სერტიფიკატი საჭიროებს მოქმედებას. სწორედ ამ ჩანაწერს მოითხოვს მოგვიანებით გადახედვა, და ის უფრო სასარგებლოა, ვიდრე ორი მყუდრო დასკვნიდან რომელიმე.