SSTP және SSL 3.0: затбелгі мен келісілген нұсқа

Екі адам бір SSTP орналастыруға қарап, қарама-қарсы қорытындыға келуі мүмкін. Біреуі өнім құжаттамасын оқып, SSL әріптерін көріп, туннель жылдар бұрын алынып тасталған протоколды іске қосып тұр деп болжайды. Екіншісі заманауи қол алысуға нұсқап, мәселе жабылды дейді. Екеуі де келісілген нұсқадан емес, затбелгілерден таласады және осылардың тек біреуі ғана дәлел. Жасауға тұрарлық салыстыру — ат уәде еткен нәрсе мен қызмет шын мәнінде таңдайтын нәрсенің арасы.

Бір сұраққа екі жауап

Затбелгі дәлелін айту оңай: SSTP қауіпсіз сокеттік туннель протоколы ретінде сипатталады, тарихи атауы SSL дейді, сондықтан қосылым SSL 3.0 болуы керек. Ол ат шынымен сол желіден келгендіктен және оны қайталайтындардың көбі ешқашан қол алысуға қарамағандықтан ұсталып тұр. Сондай-ақ қорытынды сақтықпен естілетіндіктен ұсталып тұр, ең нашарды болжау қауіпсіз таңдау сияқты. Ең нашарды болжау мен нақты нұсқаны өлшеу екі бөлек іс және олардың тек біреуі ғана бірдеңені өзгертеді.

Дәлел дәйегі тар сұрақ қояды. Бұл клиент пен бұл сервер осы соңғы нүктеде, осы уақытта қай протокол нұсқасы туралы келісті? Жауап TLS-ті тоқтататын қызметтен келеді, қандай да бір маркетингтік беттен немесе ұқсас атаулы сайтқа жеткен браузерден емес.

Екі дәйек нені дәлелдей алатынымен ерекшеленеді. Затбелгі ескі орналастыруды жамалғаннан ажырата алмайды, ал қол алысу сол хосттағы байланысы жоқ қызметтің не істеп жатқанын айта алмайды. Екіншісін қолданыңыз және біріншісін қолдануды тоқтатыңыз.

Қызмет шын мәнінде таңдайтын нұсқаны оқыңыз

Компоненттерді атаудан бастаңыз: клиент іске асырылымы, сервер іске асырылымы, TLS соңғы нүктесі және олардың арасында TLS-ті тоқтатып, қайта орнататын барлық нәрсе. TLS-ті тоқтатып, бэкендпен қарапайым HTTP сөйлейтін жүктеме теңгерушісі қай құрылғының саясатын оқу керектігін өзгертеді.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Соңғы нүкте мен уақытты нәтиженің қасына жазыңыз, өйткені саясаттың кейінгі өзгерісі күнсіз байқауды пайдасыз етеді. Тексеруді сізге маңызды пайдаланушылармен бір желілік жолдағы клиенттен қайталаңыз, өйткені кедергі жасайтын құрылғы TLS-ті өз параметрлерімен тоқтата алады. Екі ұстаным сәйкес келмесе, маңызды компонентті таптыңыз. Сәйкес келсе, ұранның орнына дәлеліңіз бар.

Жазба өрісін келіссөздерден бөліңіз

Бір өрісте ескі көрінетін нұсқа нөмірі SSL 3.0 сессиясымен бірдей факт емес. RFC 7568 жазба қабатының нұсқасы мен келісілген протоколды бөлек мәселелер деп қарайды және өзіне сенімді қате жауаптар дәл осы айырмадан шығады. Келісілген протоколды оқыңыз, содан кейін шифрды, тек содан кейін сессия туралы қорытынды жасаңыз.

Сол құжат протоколдың өзі туралы бір мәнді: SSL 3.0 қолданылмауы керек, онымен келіссөз немесе кері шегінуге тыйым салынған. Себебі POODLE шабуылы пайдаланған бұзылған CBC құрылымы және бұл протоколдың қасиеті, бір қолданбаның конфигурациясы емес.

Сондықтан „бұл жүктемені пайдалану қиын болар“ деген SSL 3.0-ді қосулы ұстауға дәлел емес. Талап — протоколды алып тастау, бір көрсетілім туралы дауды жеңу емес.

SSL 3.0-ді қорғай алатын саясатпен айналымнан шығарыңыз

Windows-та Schannel протокол параметрлері Protocols кілтінің астында орналасады және клиент пен сервер рөлі үшін бөлек оқылады, сондықтан бір бағытты түзететін өзгеріс екіншісін тимеген күйде қалдыруы мүмкін. Ағымдағы параметрлер мен олардың қайта іске қосу талаптары Microsoft тарапынан құжатталған, ал сол хосттағы үшінші тараптың TLS кітапханасы оларды толығымен елемейді.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Саясатты қолдау көрсетілетін басқару жолымен өзгертіңіз, иесі қызмет конфигурацияны қайта алатынын растаңыз және қайтудың мақұлданған жолын сақтаңыз. Басқа ортадан кең тіркеу жазбасының скриптін қою — бір қызметтің түзетуі машинадағы әрбір TLS клиенті үшін үзіліске айналатын әдіс. Мұнда қайта іске қосу ауқымы маңызды: қолданылғандай көрінетін параметрді оны қайта жүктемеген қызметтің жадында әлі ұстауы мүмкін.

Әлі де ескірген нұсқаны талап ететін серіктеске жаңарту немесе көшіру жоспары қажет. Ескі протоколды үнсіз қалпына келтіретін құжатталмаған ерекшелік үйлесімділік стратегиясы емес және келесі аудиттен өтпейді.

Өзгерісті жаңа қосылымдармен қабылдаңыз

Саясат өзгергеннен кейін жаңа сессиялармен сынаңыз, өйткені өзгеріске дейін орнатылған қосылым қазір күшіндегі конфигурация туралы ештеңе дәлелдемейді. Рұқсат етілген протоколдың сәтті, тыйым салынғанының өкілетті тексеру процесінде сәтсіз болатынын растаңыз, содан кейін сертификаттың сәйкестігі мен сенім тексерулерін бұрынғыдай қалдырыңыз.

Қол алысу нені қамтымайтынын есте сақтаңыз. SSTP TLS қабатынан кейін PPP аутентификациясын тасымалдайды, сондықтан заманауи протокол нұсқасы қай пайдаланушының өкілеттілігі берілгені немесе сессия қандай ресурстарға жете алатыны туралы ештеңе айтпайды. Бұлар бөлек дәлелдері бар бөлек бақылаулар.

Нәтижені қызмет, бэкенд, рұқсат етілген саясат және байқалған нұсқа ретінде жазыңыз. Мұндай жазба қауіпсіздік сұрағына дәл жауап береді; мұны затбелгі дәйегі де, қолайсыздық дәйегі де ешқашан жасамайды.