Бүтэлгүй VPN гар барилт үнэхээр доошлуулах халдлага мөн үү?

Алдаатай дуусах гар барилт нь мессежийг харах хүртэл халдлага мэт санагддаг бөгөөд ихэнхдээ энэ нь арифметик: нийтлэг санал байхгүй, гэрчилгээний хугацаа дууссан эсвэл пакет хэзээ ч ирээгүй. Доошлуулах халдлага бол тодорхой зүйл: өрсөлдөгч хоёр талыг өөрсдийн сонгох байсан байсан сул зан төлөв рүү түлхэж, өөр нотолгоо үлдээдэг. Бүтэлгүй бүрийг хорон санаа гэж үзэх нь байхгүй байж болох хохирогчийг хайхыг шаарддаг бол жинхэнэ доошлуулалтыг конфигурацийн алдаа гэж үзэх нь сул үр дүнг байранд нь үлдээдэг. Эдгээр хоёр алдааны үнэ өөр бөгөөд зөвхөн нэгийг нь хямд засах боломжтой.

Доошлуулах халдлага юуг үнэхээр өөрчилдөг вэ

Зорилго нь шифрийг эвдэх ч биш, түлхүүрийг таах ч биш. Зорилго нь хэлэлцээнд нөлөөлж, хоёр тал халдагч даван туулж чадах хуучин хувилбар эсвэл сул алгоритм дээр зогсох, эсвэл нэг тал нөгөө тал зөвхөн үүнийг дэмждэг гэж итгэх явдал юм.

Өөрчлөгдөх нь гэрээ, баталгаажуулалт биш. Хэрэв халдагч саналыг илрэхгүйгээр өөрчилж чадвал талууд гар барилтыг дуусгаж, бие биенээ баталгаажуулж чадна, гэхдээ халдагчид таалагдах параметрүүдээр. Тиймээс сонирхолтой асуулт нь хэлэлцээ өөрөө бүрэн бүтэн байдлын хамгаалалтад хамрагдсан эсэх юм.

Хэлэлцээг өөрөө баталгаажуулах ёстой шалтгаан

TLS 1.3 энэ хамгаалалтыг ил тод болгодог. Шинэ хувилбарыг санал болгосон клиент чимээгүй буцсан серверийг илрүүлж чадна, учир нь серверийн санамсаргүй утга нь 1.2 буюу доогуур хэлэлцэх үед тогтмол хэв маяг агуулдаг бөгөөд клиент үүнийг харвал зогсоох ёстой. Бүрэн транскрипт нь мөн эцсийн мессежүүдээр хамрагддаг тул хэлэлцээний хаана ч хийсэн өөрчлөлт дараа нь бүтэлгүйтдэг, чимээгүй өнгөрдөггүй.

Хуучин протокол хувилбарууд сул түүхтэй байсан бөгөөд яг ийм учраас буцах дүрмүүд чухал. Нэг конфигураци дахь TLS 1.0 төгсгөлийн цэг нь доошлуулах халдлага биш; энэ бол та өөрөө зөвшөөрөхөөр сонгосон зөвшөөрөгдсөн үр дүн юм. Ялгаа нь сул үр дүн хамгаалагдсан шийдвэрээс эсвэл зуучлагч нөлөөлж болох хамгаалалтгүй замаас гарсан эсэхэд байна. Ингэж томьёолбол ихэнх тохиолдол конфигурацийн асуулт болж хувирдаг.

IKEv2 өөрөөр ажилладаг ч мөн адил санаанд тулгуурладаг. Санал нь дараа нь хоёр талыг баталгаажуулах солилцоонд тээгддэг тул алгоритмыг дахин бичдэг завсрын төхөөрөмж баталгаажуулалтыг чиглүүлэхийн оронд эвддэг. OpenVPN-ийн хяналтын суваг хэлэлцээгээ TLS-ээр хамгаалаад дараа нь тэр сувгаар өгөгдлийн сувгийн шифрүүдийг тохиролцдог, тиймээс хяналтын сувгийн лог мөр нь сонирхолтой.

Тохируулсан нийцтэй байдал халдлага биш

Администратор баримтжуулсан клиентийг дэмжих үүднээс хуучин сонголтыг санаатай зөвшөөрч болох бөгөөд энэ шийдвэр конфигурацид харагдана. Халдагч ийм конфигураци үүсгэж чадахгүй; саналд нөлөөлөх боломж олгодог замыг л ашиглаж чадна.

Аюултай засвар бол ялгааны нотолгоог устгадаг засвар юм. Бүх хуучин сонголтыг идэвхжүүлэх, гэрчилгээний шалгалтыг унтраах эсвэл алдааг арилгахын тулд дурын шифрийг хүлээн авах нь төгсгөлийн цэгийн зөвшөөрөх хүрээг тэлж, сул үр дүнг мэдээлэх байсан шалгалтуудыг устгадаг.

Хэрэв нэг хуучин сонголтыг үлдээх шаардлагатай бол шалтгаан, клиентийг конфигурацийн тайлбарт бичээд, дараа нь сонголтыг түүнд хэрэгтэй профайлаар хязгаарлана уу. Нэг сонсогчдод хязгаарласан нийцтэй байдлын үл хамаарах зүйл аудит хийх боломжтой; глобал хэрэглэсэн нь хэн ч сонгосноо санахгүй сул өгөгдмөл утга төдий.

Шалтгааныг нэрлэхийн өмнө бүтэлгүйтлийг уншаарай

Аливаа өөрчлөлтийн өмнө алдааны нарийн мөрийг, клиент болон серверийн хувилбарыг, цагийг хадгална уу. Дараа нь ангилна уу: талууд саналын талаар санал нийлээгүй юу, пакетийн зам бүтэлгүйтсэн үү, эсвэл нэг тал урьд нь хүлээж авдаг байсан параметрийг татгалзсан уу?

Саналын зөрүү нь ихэвчлэн буруутай хувилбар эсвэл алгоритмыг нэрлэдэг бөгөөд алга болгонд ижил цэг дээр бүтэлгүйтдэг. Маршрут эсвэл MTU-ийн асуудал зогсдог эсвэл хугацаа хэтэрдэг бөгөөд сүлжээнээс хамаарч өөр өөр байдаг. Хугацаа дууссан гэрчилгээ нь хэлэлцээний бус шалгалтын алдаа өгдөг.

Эдгээрийн аль нь ч халдагчийн нотолгоо биш. Эхний бүтэлгүйтэлд хорон санаат шалтгаан оноох нь алдаа, учир нь маргааш дахин бүтэлгүйтэх детерминист алдааг нуудаг.

Юу үнэхээр сонгогдсоныг баталгаажуулна уу

Аливаа засварын дараа холболт боссон гэж итгэхийн оронд хэлэлцсэн үр дүнг уншаарай. Шалгалтыг устгаснаар амжилттай болсон холболт бол таны зайлсхийх гэж оролдсон үр дүн юм. Дараах хоёр команд нь TLS-ийн өмнө байрлах төгсгөлийн цэгийн сонгосон хувилбар, шифрийг, мөн OpenVPN серверийн логоос хяналтын сувгийн мөрийг харуулна.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

Үр дүнг одоо холбогдож байгаатай биш, таны зорьсон конфигурацитай харьцуулна уу. Хэрэв сонгосон хувилбар зөвшөөрөгдсөн доод хэмжээнээс хуучин бол профайл эсвэл буцах жагсаалт харах газар бөгөөд хариулт нь тэр жагсаалтыг засах, халдлага зарлаж эргэн тойрныг бүгдийг дахин барих биш юм.