Nepareizs VPN mēģinājums: kura akreditācijas datu klase šķērsoja robežu?
Neizdevies mēģinājums varēja neko nenosūtīt vai nodot paroli tam, kas atbildēja. Klasificējiet artefaktu, pirms izlemjat, ko atsaukt.
Jūs pieslēdzāties nepareizajam VPN, un klients ziņoja par kļūdu. Vai tam bija nozīme, ir atkarīgs no tā, kas pirms kļūdas gāja pa līniju, un pats vārds to jums nepasaka. Daži rokasspiedieni vispār nenes noslēpumu, kamēr citi nodod paroli ikvienam, kas atbildēja uz adresi. Pirms kaut ko atsaukt, noskaidrojiet, kurš no diviem gadījumiem notika.
Apstājieties un saglabājiet pierādījumus
Saglabājiet klienta žurnālu, izvēlēto profilu, ievadīto adresi un aptuveno laiku. Pierakstiet tos ārpus klienta, jo profila rediģēšana vai pārinstalēšana iznīcina ierakstu, kas jums būs vajadzīgs. Apturiet katru turpmāko mēģinājumu, līdz galapunkts ir apstiprināts pa ceļu, kuru jūs kontrolējat.
Nekad nepublicējiet nerediģētu profilu vai žurnālu publiskā forumā, kamēr jautājat, vai mēģinājums bija drošs. Šajos dokumentos bieži ir privātās atslēgas ceļš, iekšējs resursdatora nosaukums vai marķieris, tāpēc vispirms rediģējiet un pēc tam dalieties ar administratoru, kuram pieder galapunkts.
Kas var šķērsot robežu
Lielākā daļa neskaidrības rodas tāpēc, ka katra kļūda tiek uzskatīta par viena veida notikumu. Otrā pusē var nokļūt četras dažādas lietas: publisks sertifikāts, paraksts, kas pierāda atslēgas izmantošanu, parole vai vienreiz lietojams kods, un fails, kuru izvēlējāties paši. Katrai ir savas sekas un savs labojums. Artefakta klasificēšana ir solis, kas nosaka visu pēc tam.
Sertifikāta gadījums ir vismaigākais, jo tas, kas ceļo, pēc konstrukcijas ir publisks un tā identificējošie lauki jau ir redzami ikvienam, kas pieslēdzas. Paraksts uz izaicinājumu saka, ka atslēga tika izmantota, nevis ka tā tika nosūtīta. Parole ir pretējais gadījums: tas, kas to saņem, var to izmēģināt citur, un pakalpojums, kas būvēts paroļu pārbaudei, ir tieši šīs vērtības paredzētais saņēmējs.
Atslēgas pierādījums nav atslēgas augšupielāde
Mūsdienu TLS apzināti šķir šīs divas idejas. RFC 8446 apraksta CertificateVerify ziņojumu, kurā klients paraksta izaicinājumu ar privāto atslēgu, kas atbilst tā sertifikātam. Paraksts parāda piederību, nepārnesot atslēgu, tāpēc ar sertifikātu autentificēts mēģinājums nav automātiski atslēgas kompromitēšana.
Šim nomierinājumam ir robeža, ko ir vērts pieminēt. Pierādījums rāda, ka atslēga piedalījās šajā apmaiņā, un tas neko nesaka par to, ko lokāla programma iekārtā jau varēja nolasīt. Tas arī neko nesaka par to, cik tālu nezināms mēģinājums patiešām nokļuva, tāpēc žurnāls joprojām ir svarīgāks par teoriju.
Paroles seko pavisam citam uzticības modelim. Koncentrators, kas konfigurēts ar ārēju pārbaudītāju, var pārsūtīt iesniegto vērtību, tāpēc tās saņemšana ir paredzētā funkcija, un nepareizs galamērķis ir īsta atklāšanās, nevis teorētiska.
Rekonstruējiet mēģinājumu no žurnāla
Četri fakti rekonstruē mēģinājumu: adrese, ar kuru faktiski sazinājās, vai servera identitāte tika validēta, kura autentifikācijas metode tika izvēlēta un kur process apstājās. Katrs parādās klienta žurnālā, un katrs izslēdz citu versiju. Kļūda par maršrutiem vai piešķirtu adresi neko nesaka par to, kas jau bija uz līnijas, jo autentifikācija varēja būt pabeigta pirms tuneļa iestatīšanas neveiksmes.
Iegūstiet šos faktus no paša klienta žurnāla, nevis no atmiņas. Šaurs filtrs notur izvadi pietiekami īsu rediģēšanai un kopīgošanai:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Neaizstājiet resursdatora nosaukumu ar kaut ko no šī. Pazīstams nosaukums, pašreizējā DNS atbilde un programmatūras rādītais sertifikāta brīdinājums raksturo tagadni, nevis iepriekšējo savienojumu. Arī paroles uzvedne nav pierādījums, ka kaut kas tika nosūtīts, jo klients varēja neizdoties pirms tās iesniegšanas.
Izlemiet, tad rīkojieties
Lēmums izriet no artefakta, nevis no tā, cik satraucoši kļūda izskatījās. Izlasiet četras rindas pret rekonstruētajiem faktiem:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Ja parole sasniedza nevēlamu pakalpojumu, nomainiet to konta pārvaldības kanālā un pārbaudiet, kur citur tā tika izmantota atkārtoti. Beidzies vienreiz lietojams kods aizver šo ceļu, bet ar to izveidota sesija ne, tāpēc palūdziet identitātes administratoram pārskatīt sesijas. Ja atslēgas fails patiešām tika augšupielādēts, sekojiet izdevējas organizācijas atsaukšanas procedūrai, nevis gaidiet ļaunprātīgas izmantošanas pierādījumus.
Pēc tam pierakstiet ierobežoto rezultātu: kas tika nosūtīts, kas paliek nezināms un kura akreditācijas daļa prasa rīcību. Tieši šo ierakstu prasīs vēlāka pārskatīšana, un tas ir noderīgāks par jebkuru no diviem ērtajiem secinājumiem.