VPN баталгаажуулалтын backend-ийг хуучин хэшүүдийг дахин ашиглахгүйгээр шилжүүлэх
VPN-ийн таних мэдээллийг зөөх нь хуулбар биш, шилжилт: баталгаажуулалтын хэлхээг зураглаж, туршилтын бүлгийг шилжүүлж, итгэмжлэлийн өөрчлөлтийг туршиж, дахин тохируулалтаар буцаах боломжгүй сэргээлтийг төлөвлө.
Хэрэглэгчийн нэрс шинэ лавлахад гарч, шилжилт дууссан гэж зарлагдаж, нэвтрэлтүүд буруу хэвээр байна. Гарц нь дэмжигдсэн баталгаажуулалтын зам, зөв эрх олголтын үр дүнг шаардсаар байгаа бөгөөд аль нь ч одоо бүртгэлүүдийг агуулж буй лавлахаас гарахгүй. Backend-ийг зөөх нь амьдралын мөчлөгтэй шилжилт бөгөөд хуулбарлах ажил биш. Доорх шинж тэмдэг нь ялгааг ихэвчлэн илрүүлдэг шинж тэмдэг юм.
Шинж тэмдэг: бүртгэлүүд байгаа, сессүүд байхгүй
Шинэ лавлах нь хэрэглэгчийн нэр бүрийг агуулж, туршилтын холболт амжилттай болж, VPN клиент буруу баталгаажуулалтын алдаа буцаасаар байна. Ийм хослол нь таних мэдээлэл байгаа ч гарцын ашигладаг шалгалтын зам түүнд хүрэхгүй, эсвэл түүнийг хангаж чадахгүй аргаар хүрч байгааг илтгэнэ. Хоёулаа тохиргоо бөгөөд эдгээр нь өөр өөр асуудлууд юм.
Эхнийх нь утас: гарц хариу өгдөггүй backend рүү зааж, нөгөө тал хүлээхгүй хуваалцсан нууц ашиглаж, эсвэл шинэ үйлчилгээ буцаадаггүй шинж чанарыг хүсч байна. Хоёр дахь нь криптограф: арга нь анхны нууцыг шаардаж, шинэ сан зөвхөн түүний хэшийг хадгална. Алдааны текст хоёр тохиолдолд адил харагддаг тул хоёуланг нь нэг асуудал гэж үздэг.
Эдгээрийг бүртгэлд хүрэхээс өмнө ялгах нь долоо хоног хэмнэдэг. Нэг нь чиглүүлэлт ба итгэлийн асуудал, нөгөө нь итгэмжлэлийг дахин тохируулах шийдвэр бөгөөд тэдгээрийг хольсон нь хэн ч хамааруулж чадахгүй өөрчлөлтүүдийг бий болгоно.
Хэн нэгнийг зөөхөөс өмнө хэлхээг зурагла
Клиент профайл бүрт зургаан зүйлийг бич: гадаад баталгаажуулалтын арга, боломжтой дотоод арга, клиентийн хүлээж буй серверийн таних тэмдэг, гарц ба backend хоорондын интерфэйс, гарцын бүлгийн гишүүнчлэлд буулгадаг шинж чанар, үүнээс гарах нөөцийн бодлого. Тэдгээрийг дараалан уншихад аль холбоос эзэнгүй байгааг харуулна. Элемент бүр эзэнтэй бөгөөд шилжилт нь хэн ч шалгаагүй элемент дээр бүтэлгүйтдэг.
| Link | Question it answers |
|---|---|
| Client profile | Which method and server name does the client use? |
| Inner method | Is there a second authentication step? |
| Server identity | Which certificate or name must the client accept? |
| Gateway to backend | Which protocol, port and shared secret? |
| Attribute mapping | Which returned value becomes group membership? |
| Resource policy | What the resulting session may reach |
Энгийн лавлах нэвтрэлт тэр хэлхээний бараг юуг ч туулдаггүй. Энэ нь бүртгэл байгаа, нууц үг ажиллаж байгааг нотолдог бөгөөд энэ нь хэзээ ч эргэлзээ төрүүлээгүй хэсэг юм.
Хэшүүд аргуудын хооронд аялдаггүй
Итгэмжлэлийн нийцлийг аливаа бүлэг хөдлөхөөс өмнө нэг удаа шалгах ёстой. FreeRADIUS хуваагдлыг тодорхой тайлбарладаг: сервер өөрөө хийдэг CHAP шалгалт бодит нууц үгийг шаарддаг ба MS-CHAP тэр нууц үг эсвэл тохирох NT материалыг хүлээн авдаг. Өөр зорилгоор үүсгэсэн хэш нь хэчнээн хүчтэй байсан ч хоёр тохиолдлын аль нэгэнд тохирохгүй.
Ялгаа нь нотолгоог хэн тооцоолох вэ гэдэгт оршино. Лавлахтай холбогдож шалгадаг арга нь лавлахад өөрийн шалгаж чадах зүйлийг шалгуулна. Сорилтын хариултыг дахин тооцоолж шалгадаг арга нь нууцыг өөрөө шаардана, учир нь сервер ижил тооцоог хийх ёстой.
Материал байхгүй газар шударга сонголтууд нь дэмжигдсэн дахин тохируулалт, дахин бүртгэл, гадаад шалгалтын үйлчилгээ эсвэл арга солих юм. Сэргээх боломжтой нууц үгсийг түр экспортлох нь энэ жагсаалтад байхгүй. Энэ нь төслийн хамгийн эмх замбараагүй долоо хоногт задгай текстэн итгэмжлэлийн сан үүсгэдэг бөгөөд ихэвчлэн шилжилтийг даван туулдаг.
Туршилтын бүлэг, дараа нь амьдралын мөчлөгийн өөрчлөлтүүд
Зөвшөөрөгдсөн таних мэдээллүүдийн жижиг бүлгийг бодит клиентээр зөөж, дөрвөн зүйлийг турш: шинэ нэвтрэлт, санаатай буруу итгэмжлэл, сесс хүрч болох нөөцүүд, хүрч болохгүй нөөцүүд. Клиентийн хүлээн зөвшөөрсөн серверийн таних тэмдгийг мөн шалга, учир нь гэрчилгээний нэрийн зөрүү нь хэн нэгэн клиентийн лог уншиж эхлэх хүртэл үл үзэгдэнэ.
Дараа нь байршуулалт үнэхээр хамааралтай өөрчлөлтүүдийг турш. Нууц үг соль, гэрчилгээг шинэчил эсвэл дахин бүртгэ, нэг туршилтын бүртгэлээс хандалтыг хас. Тус бүрийн дараа оролдлогыг аль баталгаажуулагч боловсруулсныг батал, учир нь шилжилтийн өмнө үүсгэсэн сесс үргэлжлүүлэн ажиллаж болох бөгөөд дараагийн нэвтрэлтийн талаар юу ч нотлохгүй.
Профайл хүргэлтийг таних тэмдгийн солилцооноос тусгаарла. Бүлэг бүрд зориулсан профайл, итгэмжлэл эсвэл бүртгэлийн төлөв, ашиглах ёстой баталгаажуулалтын үйлчилгээ, дэмжлэгийн холбоо барих хаяг хэрэгтэй бөгөөд эдгээр бичлэгийн аль нь ч нууц агуулж болохгүй.
Хуучин ба шинэ зам зэрэгцэн оршиж байвал дуусах огноогоор хязгаарла. Автомат буцаалт нь шинэ эзэн хандалтыг хассаны дараа бүртгэлийг хуучин итгэмжлэлээр оруулж болох бөгөөд энэ нь хүртээмж мэт дүр эсгэсэн аюулгүй байдлын ухралт юм.
Буцаах нь итгэмжлэлийг сэргээж чадахгүй
Шилжилтийг буцаах нь лавлахыг яг одоогийн байдлаар нь үлдээнэ. Дахин тохируулсан нууц үг дахин тохируулсан хэвээр, хүчингүй болгосон гэрчилгээ хүчингүй хэвээр, өөрчилсөн итгэмжлэлийн формат өөрчилсөн хэвээр үлдэнэ. Эдгээр нь лавлах дахь үйл явдлууд бөгөөд гарц хэзээ ч тэдний эх сурвалж байгаагүй. Сэргээлтийг үйл явдал тус бүрээр тодорхойлох ёстой бөгөөд үүний аль нь ч нийцэхгүй хэшээс нууцыг дахин бүтээхээс хамаарах ёсгүй.
Шилжиж буй холболтыг ашигладаггүй захиргааны замыг хадгал. Шинэ баталгаажуулалт бүтэлгүйтэхэд бүлгийг түр зогсоож, хугацаа барихын тулд хүн бүрийн баталгаажуулалтыг сулруулахын оронд түүний баримтжуулсан сэргээлтийн замыг ашигла.
Бүлгүүд хамрагдсаны дараа хуучин backend итгэмжлэл, профайл, итгэлцлийн харилцааг эзэдээр нь дамжуулан хасаж гарга. Хуучин зам хэрэглэгчдийг оруулахаа больсныг баталж, дэмжлэгт хараахан хэрэгтэй байгаа нууцгүй таних тэмдэг-бодлогын буулгалтыг хадгал. Шилжилт нь шинэ амьдралын мөчлөг ажиллаж, хэн ч хуучин замаар орох боломжгүй болсон үед дуусдаг, бүртгэлийн жагсаалт бүрэн харагдах үед биш.