SSTP ба SSL 3.0: шошго ба хэлэлцсэн хувилбар

Хоёр хүн ижил SSTP байршуулалтыг харж эсрэг дүгнэлтэд хүрч болно. Нэг нь бүтээгдэхүүний баримт бичгийг уншиж, SSL үсгүүдийг харж, туннель олон жилийн өмнө хасагдсан протокол ажиллуулж байна гэж үзнэ. Нөгөө нь орчин үеийн гар барилтыг дурдаж, асуудал хаагдсан гэж хэлнэ. Хоёулаа хэлэлцсэн хувилбараас бус шошгоноос маргалдаж байгаа бөгөөд эдгээрийн зөвхөн нэг нь баталгаа юм. Хийх нь зүйтэй харьцуулалт бол нэр амлаж буй зүйл ба үйлчилгээ бодитоор сонгож буй зүйлийн хооронд юм.

Нэг асуултад хоёр хариулт

Шошгоны маргааныг хэлэхэд амархан: SSTP-г аюулгүй сокет туннелийн протокол гэж дүрсэлдэг, түүхэн нэр нь SSL гэдэг, тиймээс холболт SSL 3.0 байх ёстой. Нэр үнэхээр тэр удам угсаанаас гаралтай, мөн үүнийг давтдаг ихэнх хүмүүс хэзээ ч гар барилт харж байгаагүй учраас энэ нь тогтдог. Мөн дүгнэлт болгоомжтой сонсогддог учраас тогтдог, хамгийн мууг таамаглах нь аюулгүй сонголт мэт. Хамгийн мууг таамаглах ба бодит хувилбарыг хэмжих нь өөр өөр ажил бөгөөд зөвхөн нэг нь ямар нэг зүйлийг өөрчилдөг.

Баталгааны маргаан илүү нарийн асуулт тавьдаг. Энэ клиент ба энэ сервер энэ төгсгөлийн цэгт, энэ үед аль протоколын хувилбарт санал нэгдсэн бэ? Хариулт нь TLS-ийг дуусгадаг үйлчилгээнээс ирдэг, ямар нэг маркетингийн хуудаснаас эсвэл ижил нэртэй сайтад хүрсэн хөтчөөс биш.

Хоёр маргаан юуг баталж чадахаараа ялгаатай. Шошго хуучин байршуулалтыг засагдсанаас ялгаж чадахгүй, гар барилт нь ижил хост дээрх хамааралгүй үйлчилгээ юу хийж байгааг хэлж чадахгүй. Хоёр дахьыг ашиглаж, эхнийхийг ашиглахаа болино уу.

Үйлчилгээ бодитоор сонгодог хувилбарыг уншина уу

Бүрэлдэхүүн хэсгүүдийг нэрлэж эхэл: клиентийн хэрэгжилт, серверийн хэрэгжилт, TLS-ийн төгсгөлийн цэг ба тэдгээрийн хооронд TLS-ийг дуусгаж дахин тогтоодог бүх зүйл. TLS-ийг дуусгаж, бэкэндтэй энгийн HTTP ярьдаг ачааллын тэнцвэржүүлэгч нь аль төхөөрөмжийн бодлогыг унших ёстойг өөрчилдөг.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Төгсгөлийн цэг ба цагийг үр дүнгийн хажууд тэмдэглэ, учир нь бодлогын дараагийн өөрчлөлт нь огноогүй ажиглалтыг ашиггүй болгодог. Шалгалтыг танд чухал хэрэглэгчидтэй ижил сүлжээний зам дээрх клиентээс давтаж, учир нь саатуулах төхөөрөмж TLS-ийг өөрийн тохиргоогоор дуусгаж болно. Хоёр байрлал тохирохгүй бол чухал бүрэлдэхүүнийг олсон. Тохирвол уриан дор харин баталгаа байна.

Бичлэгийн талбарыг хэлэлцээрээс тусгаарлана уу

Нэг талбарт хуучин харагдах хувилбарын дугаар нь SSL 3.0 сессийтэй ижил баримт биш. RFC 7568 нь бичлэгийн давхаргын хувилбар ба хэлэлцсэн протоколыг тусдаа асуудал гэж үздэг бөгөөд яг энэ ялгаанаас итгэлтэй буруу хариултууд гардаг. Хэлэлцсэн протоколыг уншиж, дараа нь шифрийг, зөвхөн дараа нь сессийн тухай дүгнэлт хий.

Мөн энэ баримт бичиг протоколын тухайд хоёрдмол утгагүй: SSL 3.0-ыг ашиглах ёсгүй, түүнтэй хэлэлцэх эсвэл буцахыг хориглоно. Шалтгаан нь POODLE халдлагын ашигласан эвдэрсэн CBC бүтэц бөгөөд энэ нь протоколын шинж чанар, нэг аппликейшны тохиргоо биш.

Тиймээс „энэ ачааллыг ашиглахад хэцүү байх“ гэдэг нь SSL 3.0-ыг идэвхтэй үлдээх үндэслэл биш. Шаардлага нь протоколыг хасах, нэг үзүүлбэрийн тухай маргааныг ялах биш.

SSL 3.0-ыг та хамгаалж чадах бодлогоор хасаж эхэл

Windows дээр Schannel-ийн протоколын тохиргоо Protocols түлхүүрийн доор байрлаж, клиент ба серверийн үүргийн хувьд тусдаа уншигддаг тул нэг чиглэлийг засдаг өөрчлөлт нөгөөг хөндөхгүй орхиж болно. Одоогийн тохиргоо ба тэдгээрийг дахин эхлүүлэх шаардлагыг Microsoft баримтжуулсан бөгөөд ижил хост дээрх гуравдагч этгээдийн TLS номын сан тэдгээрийг бүрэн үл тоомсорлодог.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Бодлогыг дэмжигдсэн удирдлагын замаар өөрчилж, эзэмшигч үйлчилгээ тохиргоогоо дахин авч байгааг баталж, буцах зөвшөөрөгдсөн замыг хадгал. Өөр орчноос өргөн бүртгэлийн скриптийг буулгах нь нэг үйлчилгээний засварыг машины бүх TLS клиентэд тасалдал болгох арга юм. Энд дахин эхлүүлэх хамрах хүрээ чухал: хэрэгжсэн мэт харагдах тохиргоог дахин ачаалаагүй үйлчилгээний санах ойд байсаар байж болно.

Хуучирсан хувилбарыг шаардсаар байгаа түншэд шинэчлэл эсвэл шилжилтийн төлөвлөгөө хэрэгтэй. Хуучин протоколыг чимээгүй сэргээдэг баримтжуулаагүй үл хамаарах зүйл нь нийцлийн стратеги биш бөгөөд дараагийн аудитад тэнцэхгүй.

Өөрчлөлтийг шинэ холболтоор хүлээн авна уу

Бодлого өөрчлөгдсөний дараа шинэ сессээр туршиж үз, учир нь өөрчлөлтийн өмнө тогтоосон холболт одоо хүчин төгөлдөр тохиргооны талаар юу ч батлахгүй. Зөвшөөрөгдсөн протокол амжилттай, хориглосон протокол эрх бүхий баталгаажуулалтын явцад бүтэлгүйтэхийг баталж, дараа нь гэрчилгээний таних мэдээлэл ба итгэлийн шалгалтыг яг байсан шигээ үлдээ.

Гар барилт юуг хамардаггүйг сана. SSTP нь TLS давхаргын дараа PPP баталгаажуулалтыг зөөдөг тул орчин үеийн протоколын хувилбар нь аль хэрэглэгч зөвшөөрөгдсөн эсвэл сесс ямар нөөцөд хүрч болохыг юу ч хэлэхгүй. Эдгээр нь тусдаа баталгаатай тусдаа хяналтууд юм.

Үр дүнг үйлчилгээ, бэкэнд, зөвшөөрөгдсөн бодлого ба ажиглагдсан хувилбар хэлбэрээр бич. Ийм бүртгэл аюулгүй байдлын асуултад нарийн хариулдаг; үүнийг шошгоны маргаан ч, тав тухгүй байдлын маргаан ч хэзээ ч хийдэггүй.