Неге жарамды бір реттік код VPN-ға кіруде сәтсіз болады

Сіз VPN клиентін ашасыз, құпия сөзді тересіз, және аутентификатордан келген алты цифр жарамсыз болып қайтады — екі рет, содан кейін үшінші рет. Аккаунтта кешеден бері ештеңе өзгерген жоқ, сондықтан бірінші ой аутентификатордағы жазбаны жойып, оны қайта сканерлеу — әдетте бұл дұрыс емес жөндеу. Бір реттік код екінші құпия сөз емес: шлюз оны белгілі бір қадамда, белгілі бір тіркелген жазбадан, белгілі бір терезе ішінде сұрауы керек, және қабылдамаулардың көбі цифрлар салыстырылмай тұрып болады. Тіркеуге тиіспес бұрын қай қадамда екеніңізді анықтаңыз.

Сұраулар тәртібі қай ағында екеніңізді көрсетеді

Кодты қамтитын VPN-ға кірудің барлығы дерлік үш пішінге сыйяды. Екі қадамды пішінде клиент құпия сөзді жібереді, сервер шақыру шығарады, ал клиент қайта сұрайды. Біріктірілген пішінде шлюз құпия сөз бен кодты бір жіберуде қалайды — кейде біріктірілген, кейде тек оператор құжаттайтын бөлгіштен кейін. Браузер пішінінде клиентте өріс мүлде жоқ: код веб-бетке енгізіледі немесе push мақұлдау оны алмастырады, ал жұмыс үстелі клиенті нәтижені күтеді.

Қате пішін нашар кодқа ұқсайды. Жаңа кодты тек құпия сөзге арналған өріске қойыңыз, сервер оны құпия сөздің бөлігі ретінде оқиды. Клиент жағында OpenVPN 2.4 және одан кейінгі нұсқалар айырмашылықты көрнекі етеді: AUTH_FAILED,CRV1: деп жауап беретін сервер шақыруға жауап күтеді, сондықтан профильге static-challenge немесе SCRV1: түріндегі құпия сөз файлы қажет. Тек auth-user-pass бар ескі профиль құпия сөзді тексереді де, тоқтап қалады, бұл журналда OTP сәтсіздігіне ұқсайды, бірақ ешбір код жіберілмеген.

WireGuard-ты ерекшелік ретінде атаған жөн: ол адамдарды емес, кілт жұптарын аутентификациялайды, сондықтан код үшін өріс жоқ. Егер провайдер мұндайды жарнамаласа, оны туннельден тыс нәрсе қабылдайды.

Сервер алты цифрмен не істейді

Уақытқа негізделген кодтар RFC 6238 стандартын ұстанады, ол RFC 4226-дағы ескі санауышқа негізделген құрылымды орайды: қозғалатын факторға HMAC, әдепкі бойынша алты цифрға дейін қысқартылады. TOTP үшін қозғалатын фактор — ағымдағы Unix уақытының қадамға бөлінуі, оператор өзгертпесе 30 секунд. Тексеруші сіздің цифрларыңызды сақталған мәнмен ешқашан салыстырмайды; ол ортақ тұқымнан күтілетін кодты қайта есептейді және әдетте көршілес қадамдарды да қабылдайды, сондықтан баяу айналым кіруді сәтсіз етпейді.

Екі салдар назардан тыс қалады. Телефонның уақыт белдеуі маңызды емес, өйткені тұқым жергілікті сағатты ешқашан көрмейді — тек нақты UTC-ден ауытқу маңызды, ал екі минут оза шапқан құрылғы таза кері санақ көрсетіп тұрып, әр кодта сәтсіз болады. Ал код жасалымы бойынша бір реттік: тексеруші сол тұқым үшін қабылдаған соңғы санауыш мәнін есте сақтайды, сондықтан бірдей цифрлар қайта жіберілсе, сол терезе ішінде де қабылданбайды. Уақыт шегінен кейін қайта әрекеттенген клиент жаңа жіберген кодын өртеп жіберуі мүмкін.

Санауышқа негізделген токендер әр басқан сайын санауышты жылжытады, сондықтан кодтар жасалып, бірақ ешқашан жіберілмесе, синхроннан шығады; әдеттегі жөндеу — алға қарай бірнеше мәнді қабылдайтын қайта синхрондау терезесі. Егер оператор HOTP тіркесе, ал қолданбаңыз TOTP көрсетсе, әр мән сағат мәселесіне ұқсайтын түрде қате. QR кодтың артындағы беру URI-і түрін, цифрларын, кезеңін және хэшін атайды.

Қате кодқа ұқсайтын сәтсіздіктер

Тіркелген жазба — ең жиі кінәлі. Аутентификатор қолданбалары жазбаларды шығарушы мен аккаунт бойынша белгілейді, сондықтан бір VPN-де екі жеке басы бар адамның белгілері бір таңбаға ерекшеленетін екі жазбасы болуы мүмкін. Код оны жасаған тұқым үшін жарамды, өзге ештеңе үшін емес. Телефондағы белгіні сервер жазатын пайдаланушы атымен салыстырыңыз, өзіңіз терген деп есіңізде қалғанмен емес.

Екіншісі — сәйкес келмейтін параметрлер жиынтығы. Сегіз цифрмен, 60 секундтық кезеңмен немесе SHA-256-мен тіркелген тұқым алты цифр, 30 секунд және SHA-1 күтетін тексеруші қабылдамайтын кодтар береді, ал клиентте мұны қате кодтан ажырату мүмкін емес. Бұл жазба QR кодтың суретінен қайта қосылған немесе токен жазбасы әдепкі мәндермен қайта құрылған көшірулерден кейін пайда болады.

Үшіншісі код туралы емес. Шлюздер әдетте қате құпия сөзге, мерзімі біткен кодқа және өшірілген аккаунтқа бір жалпы аутентификация сәтсіздігін қайтарады, әдейі, ешкім қай фактор сәтсіз болғанын біле алмауы үшін. Клиент баннерінің орнына шлюз немесе RADIUS журналын оқыңыз: ешқашан шығарылмаған шақыру, OTP атрибутынсыз қатынаудан бас тарту және саясат бойынша бас тарту экранда бірдей көрінеді және әр түрлі келесі қадамдарға әкеледі.

Оны тарылтатын қысқа реттілік

Ең арзан тексеруден бастаңыз және орындалмайтын бірінші қадамда тоқтаңыз.

1. Жаңа кодты күтіңіз, оны бір рет жіберіңіз және шақырудың құпия сөз қабылданғанға дейін немесе кейін пайда болатынын белгілеңіз.
2. Аутентификатордағы белгіні сервер сақтайтын пайдаланушы атымен сәйкестендіріңіз.
3. Профильдің шақыруға мүлде жауап бере алатынын растаңыз, жоғарыдағы CRV1 жағдайындағыдай.
4. Құрылғы сағатын белгілі уақыт көзімен салыстырыңыз; бірнеше ондаған секундтан астам ауытқу TOTP-ны өзінен-өзі бұзады.
5. Оператордан токен TOTP пе әлде HOTP пе, қандай цифрлар, кезең және хэш тіркелгенін сұраңыз.

Екі ереже бұның нашарлауына жол бермейді. Көп рет қайталап көрмеңіз: көптеген шлюз сәтсіздіктерді аккаунт бойынша санайды және оны не құлыптайды, не жауаптарды кешіктіре бастайды, сондықтан қауырт ағын шағын конфигурация қатесін қолдау билетіне айналдырады. Және токенді диагностика ретінде қайта тіркемеңіз, өйткені бұл ескі тұқымды жарамсыз етеді; егер нақты ақау клиент ешқашан жібермеген шақыру болса, енді бір емес, екі өзгерісті түсіндіруге тура келеді.

Тұқым мен қалпына келтіру кодтарын айналымнан тыс ұстаңыз

Алты цифр мен олардың артындағы құпия алмастырылмайды. Беру QR коды немесе Base32 тұқымы аккаунттың барлық болашақ кодын жасайды, сондықтан ол құпия сөзбен бір санатқа жатады: экран суретінде емес, билет түсіндірмесінде емес, алғаш сізбен байланысқан адаммен чатта да емес. Қалпына келтіру кодтары — бөлек механизм: бір реттік, көбіне код сұрауын мүлде аттап кетеді, ал аккаунтты тексеру үшін біреуін жұмсау кейін қажет болуы мүмкін қосалқы жолды жояды.

Код кіру бетін сенімді етпейді: ұқсас домендегі OTP сұрауы жарамды код жинап, оны терезе ішінде қайта ойнатады, ал сертификат әлі де қайда теретініңізді айтады.

Егер реттілік шақыруға жауап бере алмайтын профильге жетсе, профильді түзетіп, бір жаңа кодпен қайта сынаңыз. Егер ол сәйкес келмейтін тіркеу параметрлеріне жетсе, біреу бірдеңені сканерлеуінен бұрын оператордан токен жазбасын оқуды сұраңыз. Егер ол құлыптауға жетсе, клиенттерді ауыстырудың орнына оның бітуін күтіңіз — кедергі — аккаунт күйі, қолданба емес.