PPTP/MS-CHAPv2 നിർത്തൽ: പഴയ VPN-നുള്ള റൺബുക്ക്

പ്രതിമാസം മാറ്റി സേഫിൽ സൂക്ഷിക്കുന്ന ഇരുപത് അക്ഷര പാസ്‌വേഡുകൾ MS-CHAPv2 ഓടിക്കുന്ന PPTP സെർവറിനെ ആധുനിക VPN ആക്കില്ല. പാസ്‌വേഡ് ഒരു കൈമാറ്റത്തിന്റെ ഇൻപുട്ടാണ്, അതിന്റെ ദൗർബല്യം കൈമാറ്റത്തിൽ തന്നെയാണ്. ഈ റൺബുക്ക് ആ സെർവർ അവകാശമായി ലഭിച്ച, അതിനെ ആശ്രയിക്കുന്ന സൈറ്റ് മുറിക്കാതെ ഉപയോക്താക്കളെ അവിടെ നിന്ന് മാറ്റേണ്ട ആൾക്കുള്ളതാണ്. ഘട്ടങ്ങൾ ക്രമത്തിൽ ചെയ്യുക, കാരണം ഓരോന്നും ഒരു രേഖ ബാക്കിയാക്കുന്നു, ആക്‌സസ് പെട്ടെന്ന് എന്തുകൊണ്ട് മാറി എന്ന് ആരെങ്കിലും ചോദിക്കുമ്പോൾ അത് വേണ്ടിവരും.

എന്തിലും തൊടുന്നതിന് മുൻപ് സ്റ്റാക്ക് എഴുതൂ

PPTP എന്ന വാക്കിൽ മൂന്ന് പാളികൾ ഒരുമിക്കുന്നു, ഓരോന്നും അതിന്റേതായ രീതിയിൽ പരാജയപ്പെടുന്നു. ടണൽ PPTP തന്നെ, GRE കൂടെ TCP 1723. ഓതന്റിക്കേഷൻ സെർവർ നൽകുന്ന PPP രീതി, ഇവിടെ MS-CHAPv2. ലിങ്ക് സംരക്ഷണം MPPE, അതിന്റെ കീകൾ ആ ഓതന്റിക്കേഷൻ കൈമാറ്റത്തിൽ നിന്ന് ഉരുത്തിരിയുന്നു. മൂന്നും പേരിടുന്നത് പിന്നീടുള്ള തിരുത്ത് തെറ്റായ പാളിയിൽ ഇറങ്ങുന്നത് തടയുന്നു.

വിക്കി പേജ് വിശ്വസിക്കുന്നതിന് പകരം ജീവനുള്ള കോൺഫിഗറേഷൻ വായിക്കൂ, ഫയൽ, ശ്രോതാവ്, അവസാനം ഓതന്റിക്കേറ്റ് ചെയ്ത സെഷനുകൾ എന്നിവ രേഖപ്പെടുത്തൂ.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows ദൂര പ്രവേശന റോളിൽ അതേ ഇൻവെന്ററി രണ്ട് കമാൻഡുകളിൽ നിന്ന് വരുന്നു, രണ്ടാമത്തേത് പ്രധാനമാണ്, കാരണം ഒരു റോളിന് ഒരേ സമയം പല രീതികൾ പ്രഖ്യാപിക്കാം, എന്നാൽ ഫീൽഡിലെ ക്ലയന്റുകൾ എപ്പോഴും ഏറ്റവും ദുർബലമായതിൽ മാത്രം യോജിക്കുന്നു.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

ഇന്ന് ടണൽ യഥാർത്ഥത്തിൽ എന്താണ് വഹിക്കുന്നതെന്ന് തീരുമാനിക്കൂ

പകരം തിരഞ്ഞെടുക്കുന്നതിന് മുൻപ് ഉപയോക്താക്കളെ പട്ടികപ്പെടുത്തൂ: സഞ്ചരിക്കുന്ന ലാപ്‌ടോപ്പുകൾ, ബ്രാഞ്ച് റൗട്ടർ, പേയ്‌മെന്റ് ടെർമിനൽ, ഫീൽഡ് ടാബ്‌ലെറ്റുകളുടെ കൂട്ടം. ഒരു ആന്തരിക ഹോസ്റ്റിൽ എത്തിയാൽ മതിയാകുന്ന ഉപയോക്താവിനെ മാറ്റാൻ എളുപ്പമാണ്. വീണ്ടും ഫ്ലാഷ് ചെയ്യാൻ കഴിയാത്ത ഹാർഡ്‌വെയറിൽ ഉൾച്ചേർന്ന ഉപയോക്താവിന് ക്ലയന്റ് അപ്‌ഗ്രേഡിന് പകരം ഇടനില ഗേറ്റ്‌വേ ആവശ്യമായേക്കാം, ആ തീരുമാനം മാറ്റത്തിന്റെ നടുവിലല്ല, പ്ലാനിലാണ്.

പിന്നെ ലോഗിൻ കൈമാറ്റം നിരീക്ഷിക്കാനോ സ്വാധീനിക്കാനോ കഴിയുന്ന ആക്രമണകാരിക്ക് എന്ത് കിട്ടുമെന്ന് ചോദിക്കൂ. MS-CHAPv2-ൽ ഉപയോക്താവിന്റെ പാസ്‌വേഡ് ഓഫ്‌ലൈനായി വീണ്ടെടുക്കാൻ അനുവദിക്കുന്ന വസ്തു ഉത്തരത്തിൽ ഉണ്ട്, അതുകൊണ്ടാണ് നീളവും മാറ്റവും രൂപകൽപ്പന തിരുത്താത്തത്: വീണ്ടെടുത്ത രഹസ്യം ഉപയോക്താവ് വീണ്ടും ഉപയോഗിച്ച എല്ലാ സിസ്റ്റത്തിലും സാധുവാണ്.

MPPE അതേ ദൗർബല്യം കൈമാറ്റം ചെയ്ത് കിട്ടുന്നു, കാരണം അതിന്റെ കീകൾ ആ കൈമാറ്റത്തിൽ നിന്ന് വരുന്നു, ആധുനിക AEAD സൈഫറിന്റെ പാക്കറ്റ് അടിസ്ഥാന അഖണ്ഡതയോ പുനഃപ്രവർത്തന സ്വഭാവമോ അത് തരുന്നുമില്ല. വൃത്തിയായി ഓതന്റിക്കേറ്റ് ചെയ്ത സെഷൻ ക്രമീകരിച്ച പരിശോധനകളുമായുള്ള പൊരുത്തം മാത്രമാണ് തെളിയിച്ചത്, അതിലധികമില്ല.

ചെറിയ ഉച്ചഭക്ഷണ ഇടവേളയോ കുറഞ്ഞ ഉപയോക്തൃസംഖ്യയോ ഒരു ക്രിപ്റ്റോഗ്രാഫിക് ഗുണത്തെ നയ ഗുണമാക്കി മാറ്റുന്നില്ല.

മൈഗ്രേഷൻ ഒരു അറ്റകുറ്റപ്പണി ജാലകത്തിനുള്ളിൽ നടത്തൂ

പകരം സ്ഥാപിച്ച്, ഒരു പൈലറ്റ് സംഘത്തോടൊപ്പം തെളിയിച്ച്, പിന്നെ പഴയ ശ്രോതാവിനെ നിശ്ശബ്ദ ബാക്കപ്പായി വിടാതെ നിർത്തൂ. എല്ലാവർക്കും ഇപ്പോഴും എത്താവുന്ന ബാക്കപ്പ് മൈഗ്രേഷനല്ല, അത് മാറാൻ ഒരിക്കലും ശ്രമിക്കാത്ത ഉപയോക്താക്കൾക്ക് ദുർബല കൈമാറ്റം തുറന്നിടുന്നു.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

അതേ ജാലകത്തിൽ ഫയർവാൾ പാത അടയ്ക്കൂ. GRE-യ്ക്ക് ഓർക്കാനുള്ള പോർട്ടില്ല, അതിനാൽ നമ്പർ പ്രകാരം പ്രോട്ടോക്കോൾ 47 അനുവദിക്കുന്ന നിയമം എളുപ്പം വിട്ടുപോകുന്നു, ഡീമൺ പോയതിന് ശേഷവും സേവനം എത്താവുന്നതായി നിർത്തുന്നു. നീക്കം ചെയ്ത നിയമം, അതിന്റെ മുൻ സ്ഥാനം, കാരണം എന്നിവ രേഖപ്പെടുത്തൂ, പിന്നീടുള്ള മാറ്റ അവലോകനം അത് ആകസ്മികമായി പുനഃസ്ഥാപിക്കാതിരിക്കാൻ.

ക്രെഡൻഷ്യലുകൾ കോൺഫിഗറേഷനിൽ നിന്ന് വേർതിരിച്ച് കൈകാര്യം ചെയ്യൂ. ക്ലയന്റ് പ്രൊഫൈൽ നീക്കുന്നത് റദ്ദാക്കലല്ല, മറ്റെവിടെയെങ്കിലും ഇപ്പോഴും ഓതന്റിക്കേറ്റ് ചെയ്യുന്ന അക്കൗണ്ട് വിരമിച്ചിട്ടില്ല.

പകരം PPTP ചെയ്ത ജോലികൾ ചെയ്യുന്നുണ്ടെന്ന് പരിശോധിക്കൂ

ചെക്ക്‌ലിസ്റ്റ് “കണക്ട് ചെയ്യുന്നുണ്ടോ” എന്നതല്ല. ഓതന്റിക്കേഷൻ, വിലാസ വിതരണം, DNS പരിഹാരം, പാത തിരഞ്ഞെടുപ്പ്, പുനഃബന്ധന സ്വഭാവം, പിയർ പരിശോധന എന്നിവയെല്ലാം പകരത്തിന് കീഴിൽ നിലനിൽക്കുന്നുണ്ടോ എന്നതാണ്. ഓരോന്നും ഒരു പൈലറ്റ് ഉപകരണത്തിൽ, അതേ ക്രമത്തിൽ പരിശോധിച്ച്, നിരീക്ഷിച്ച ഫലം പ്രതീക്ഷയുടെ അരികിൽ എഴുതൂ.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

ഇന്റർഫേസിലെ വിലാസം ചർച്ചകൾ പൂർത്തിയായി എന്ന് തെളിയിക്കുന്നു. ദൂരെയുള്ള വശം നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന പാത അനുവദിച്ചു എന്ന് അത് തെളിയിക്കുന്നില്ല, മുകളിലെ അന്വേഷണം ഈ ഹോസ്റ്റിന് മാത്രമാണ് ഉത്തരം നൽകുന്നത്, ഫോർവേഡ് ചെയ്ത LAN-നല്ല. റിസോൾവറിന്റെ ഉത്തരം റിസോൾവറിലേക്കുള്ള എത്തിച്ചേരൽ തെളിയിക്കുന്നു, വിഭജിത DNS നയം ശരിയായ പേരുകൾ അങ്ങോട്ട് അയയ്ക്കുന്നു എന്നല്ല.

പുനഃബന്ധനം അവസാനം പരിശോധിക്കൂ, കാരണം മിക്ക പകരങ്ങളും അവിടെയാണ് പിന്നോട്ട് പോകുന്നത്: ലാപ്‌ടോപ്പ് സ്ലീപ്പ് ചെയ്യിച്ച്, നെറ്റ്‌വർക്കുകൾ മാറ്റി, പഴയ പാതകൾ ബാക്കിവയ്ക്കാതെ ടണൽ വീണ്ടും സ്ഥാപിക്കുന്നു എന്ന് ഉറപ്പാക്കൂ.

റോൾബാക്ക്, റദ്ദാക്കൽ, നിങ്ങൾ ബാക്കിവയ്ക്കുന്ന രേഖ

റോൾബാക്ക് സേവനം പുനഃസ്ഥാപിക്കുന്നു; സുരക്ഷ പുനഃസ്ഥാപിക്കുന്നില്ല, ഈ വ്യത്യാസം ജാലകം തുറക്കുന്നതിന് മുൻപ് ഉറക്കെ പറയണം. പുതിയ പാത പരാജയപ്പെട്ടാൽ, എല്ലാവർക്കും PPTP വീണ്ടും ഓണാക്കുന്നതിന് പകരം രണ്ടാമത്തെ ആധുനിക എൻഡ്‌പോയിന്റിലൂടെയോ താൽക്കാലിക ഗേറ്റ്‌വേയിലൂടെയോ ഉപയോക്താക്കളെ തിരികെ കൊണ്ടുവരൂ. പഴയ പ്രോട്ടോക്കോളിൽ ഒരു അടിയന്തര പാത സൂക്ഷിക്കുന്നത് നിങ്ങൾ ഇപ്പോൾ രേഖപ്പെടുത്തിയ എക്സ്പോഷർ വിശാലമാക്കുന്നു.

മാറ്റത്തിന് ശേഷം PPTP വഴി ഓതന്റിക്കേറ്റ് ചെയ്ത അക്കൗണ്ടുകൾ റദ്ദാക്കൂ, അവയുടെ സംഭരിച്ച പ്രൊഫൈലുകൾ കാലഹരണപ്പെടാൻ അനുവദിക്കൂ, ആരും ഓർക്കാത്ത ദുരന്ത പുനരുദ്ധാരണ പകർപ്പ് ഉൾപ്പെടെ എല്ലാ എഡ്ജ് ഉപകരണങ്ങളിൽ നിന്നും GRE നിയമം പോയി എന്ന് ഉറപ്പാക്കൂ.

ചെറിയ രേഖ ബാക്കിവയ്ക്കൂ: നിങ്ങൾ കണ്ട പ്രോട്ടോക്കോളുകൾ, ഓരോ ശ്രോതാവും നിന്ന തീയതി, പകരം പിന്തുണയ്ക്കുന്ന ക്ലയന്റ് പതിപ്പുകൾ, തീരുമാനം വീണ്ടും തുറക്കാവുന്ന ഉടമ. പാസ്‌വേഡ് ശുചിത്വം പിന്നീടും പ്രധാനമാണ്, പക്ഷേ അതിന് അർഹതയുള്ള പ്രോട്ടോക്കോളിലെ ശുചിത്വമായി, പഴയതിനെ ജീവനോടെ നിർത്താനുള്ള വാദമായി അല്ല.