Буруу VPN оролдлого: ямар итгэмжлэлийн ангилагч хил давсан бэ?
Амжилтгүй оролдлого огт юу ч илгээгээгүй эсвэл хариу өгсөн хүнд нууц үгийг өгсөн байж болно. Юуг цуцлахаа шийдэхийн өмнө артефактыг ангил.
Та буруу VPN-д холбогдож, клиент алдаа мэдээлэв. Энэ нь ач холбогдолтой байсан эсэх нь алдаанаас өмнө шугамаар юу өнгөрснөөс хамаарна, үг өөрөө үүнийг хэлж өгөхгүй. Зарим гар барилт огт нууц дамжуулдаггүй, харин зарим нь хаягт хариу өгсөн хүн бүрт нууц үгийг өгдөг. Ямар нэг зүйлийг цуцлахаасаа өмнө эдгээрийн аль нь болсныг тодорхойл.
Зогсоод нотолгоог хадгал
Клиентийн лог, сонгосон профайл, таны бичсэн хаяг, ойролцоогоор цагийг хадгал. Тэдгээрийг клиентийн гадна хаа нэгтээ бичээрэй, учир нь профайл засах эсвэл дахин суулгах нь танд хэрэгтэй бичлэгийг устгадаг. Таны хянадаг замаар төгсгөлийн цэг батлагдах хүртэл дараагийн бүх оролдлогыг зогсоо.
Оролдлого аюулгүй байсан эсэхийг асууж байхдаа засагдаагүй профайл эсвэл логийг олон нийтийн форумд хэзээ ч бүү нийтэл. Эдгээр баримт бичигт ихэвчлэн хувийн түлхүүрийн зам, дотоод хост нэр эсвэл токен байдаг тул эхлээд засаж, дараа нь төгсгөлийн цэгийг эзэмшдэг администратортой хуваалц.
Хилиийг юу давж болох вэ
Ихэнх будлиан нь алдаа бүрийг нэг төрлийн үйл явдал гэж үзэхээс үүсдэг. Нөгөө талд дөрвөн өөр зүйл хүрч болно: нийтийн гэрчилгээ, түлхүүр ашиглагдсаныг нотлох гарын үсэг, нууц үг эсвэл нэг удаагийн код, мөн та өөрөө сонгосон файл. Тус бүр өөрийн үр дагавар, өөрийн засвартай. Артефактыг ангилах нь дараагийн бүх зүйлийг шийдэх алхам.
Гэрчилгээний тохиолдол хамгийн зөөлөн, учир нь аялдаг зүйл нь зохион байгуулалтаараа нийтийн бөгөөд түүний таних талбарууд холбогдсон хүн бүрт аль хэдийн харагдана. Сорилт дээрх гарын үсэг нь түлхүүр ашиглагдсаныг хэлдэг, илгээгдсэнийг биш. Нууц үг нь эсрэг тохиолдол: хүлээн авсан хүн өөр газар туршиж болно, нууц үгийг шалгахаар бүтээсэн үйлчилгээ нь яг тэр утгын зориулалтын хүлээн авагч юм.
Түлхүүрийн нотолгоо бол түлхүүр байршуулалт биш
Орчин үеийн TLS эдгээр хоёр санааг санаатайгаар тусгаарладаг. RFC 8446 нь CertificateVerify мессежийг тодорхойлдог бөгөөд клиент өөрийн гэрчилгээтэй тохирох хувийн түлхүүрээр сорилтод гарын үсэг зурдаг. Гарын үсэг нь түлхүүрийг дамжуулахгүйгээр эзэмшлийг харуулдаг тул гэрчилгээгээр баталгаажсан оролдлого автоматаар түлхүүрийн эвдрэл биш.
Энэ тайвшралд хэлэх ёстой нэг хязгаар бий. Нотолгоо нь түлхүүр тэр солилцоонд оролцсоныг харуулдаг бөгөөд машин дээрх локал програм аль хэдийн юу уншсан байж болохыг хэлэхгүй. Мөн үл мэдэгдэх оролдлого үнэндээ хэр хол явсныг хэлэхгүй тул лог онолоос илүү чухал хэвээр байна.
Нууц үг огт өөр итгэлийн загварыг дагадаг. Гадаад баталгаажуулагчтай тохируулсан төвлөрүүлэгч илгээсэн утгыг цааш дамжуулж болно, тиймээс түүнийг хүлээн авах нь зориулалтын үүрэг, буруу очих газар нь онолын бус бодит илрэл юм.
Оролдлогыг логоос сэргээ
Дөрвөн баримт оролдлогыг сэргээдэг: бодитоор холбогдсон хаяг, серверийн таних тэмдэг баталгаажсан эсэх, ямар баталгаажуулалтын арга сонгогдсон, процесс хаана зогссон. Тус бүр клиентийн логт харагдах бөгөөд тус бүр өөр хувилбарыг үгүйсгэдэг. Маршрут эсвэл олгосон хаягийн алдаа нь шугам дээр аль хэдийн юу байсныг хэлэхгүй, учир нь баталгаажуулалт туннелийн тохиргоо бүтэлгүйтэхээс өмнө дууссан байж болно.
Эдгээр баримтыг ой санамжаас биш, клиентийн өөрийн логоос гаргаж ав. Нарийн шүүлтүүр гаралтыг засаж, хуваалцахад хангалттай богино байлгана:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Эдгээрийн аль нэгийг хост нэрээр бүү соль. Танил нэр, одоогийн DNS хариу, програмын харуулж буй гэрчилгээний анхааруулга нь одоог тодорхойлдог, өмнөх холболтыг биш. Нууц үгийн шаардлага ч ямар нэг зүйл илгээгдсэний нотолгоо биш, учир нь клиент үүнийг илгээхээс өмнө бүтэлгүйтсэн байж болно.
Шийдээд, дараа нь үйлд
Шийдвэр нь артефактаас гардаг, алдаа хэр аймшигтай харагдсанаас биш. Дөрвөн мөрийг сэргээсэн баримтуудтай харьцуулан унш:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Хэрэв нууц үг зориулалтын бус үйлчилгээнд хүрсэн бол бүртгэлийн удирдлагын сувгаар сольж, өөр хаана дахин ашиглагдсаныг шалга. Хугацаа дууссан нэг удаагийн код тэр замыг хаадаг ч түүгээр үүсгэсэн сесс хаадаггүй тул таних тэмдгийн администратороос сессийг хянахыг хүс. Хэрэв түлхүүрийн файл үнэхээр байршсан бол буруу ашиглалтын нотолгоог хүлээхын оронд олгогч байгууллагын цуцлах журмыг дага.
Дараа нь хязгаарлагдмал үр дүнг бич: юу илгээгдсэн, юу үл мэдэгдэх хэвээр, ямар итгэмжлэл үйлдэл шаардана. Яг тэр бичлэгийг дараагийн хяналт асуух бөгөөд энэ нь хоёр тав тухтай дүгнэлтийн аль ч хэмжээнд хэрэгтэй.