Pengukuhan VPN Windows: betulkan pengesahan sebelum terowong

Pelayan VPN Windows anda meminta nama pengguna dan kata laluan, dan dialog tunggal itu menyembunyikan tiga tugas yang tidak berkaitan. Satu membuktikan siapa orang itu, satu menghalang seseorang yang memerhati wayar daripada menggunakan semula bukti itu, dan satu menentukan alamat mana yang boleh dicapai selepas itu. Kebanyakan penggunaan kecil mengukuhkan terowong dahulu dan membiarkan dua tugas pertama pada nilai lalai, iaitu urutan yang salah.

Bekerja mengikut urutan penyerang bekerja. Pertama apa yang boleh ditangkap dari wayar. Kemudian apa yang boleh dimainkan semula dengan rakaman itu. Akhir sekali, apa yang boleh dicapai oleh penyerang yang disahkan setelah berada di dalam.

Tiga tugas, satu dialog

Identiti ialah bahagian yang difikirkan orang, dan ia hanya satu pertiga daripada masalah. Bukti identiti mesti bertahan menghadapi pemerhati yang merakam pertukaran itu dan mencuba lagi kemudian. Kebenaran pula ialah keputusan berasingan yang dibuat pelayan selepas identiti ditetapkan, dan Windows menyimpannya dalam perkhidmatan yang berbeza daripada yang mengesahkan kelayakan.

Apabila ketiga-tiganya tinggal dalam satu baldi mental, hasil biasa ialah pelayan yang mengesahkan dengan kuat dan kemudian membenarkan pengguna mencapai segala-galanya. Membetulkannya kemudian lebih sukar daripada memutuskan dasar sekarang, kerana pada masa itu profil tembok api, kolam alamat dan laluan semuanya telah mengodkan andaian lama.

Asingkan ketiga-tiganya dalam nota anda sebelum menyentuh sebarang tetapan, kemudian betulkan dari pautan paling lemah ke atas.

Mengapa MS-CHAPv2 tidak dapat bertahan dalam ujian main semula

Jika pelayan masih menerima PPTP dengan MS-CHAPv2, terowong itu tidak melindungi kata laluan dalam apa-apa erti yang bermakna. Cabaran dan respons boleh ditangkap dan diserang di luar talian, dan pada 2012 satu perkhidmatan pemecahan awam menunjukkan pemulihan daripada jabat tangan sedemikian dalam kira-kira satu hari untuk kata laluan biasa. Kata laluan yang lebih panjang dan rumit menaikkan kos; ia tidak membuang bahan yang diperlukan penyerang daripada rangkaian.

Sifat yang anda mahu ialah kelayakan yang tidak boleh dimainkan semula. EAP-TLS dengan sijil klien memberikan setiap peranti identitinya sendiri dan membolehkan anda membatalkan tepat satu peranti.

Menggunakan sijil ialah kerja sebenar: CA persendirian, laluan pembatalan yang diperiksa klien, dan pelan pembaharuan yang bertahan melalui pertukaran kakitangan. Anggap kerja itu sebagai projek dan bukan sebagai halangan antara anda dan terowong yang berfungsi. Belanjakan untuknya seperti anda membelanjakan untuk penggantian tembok api. Kata laluan dikongsi hanya lebih murah sehingga pembatalan pertama.

Kunci pra-kongsi mengesahkan pasangan, bukan orangnya

L2TP/IPsec dengan kunci pra-kongsi membuktikan bahawa dua get laluan mengetahui rahsia yang sama. Ia tidak menyatakan apa-apa tentang siapa manusia yang menyambung, dan ia tidak dapat membezakan seorang pekerja daripada yang lain pada lapisan itu. Gunakan nilai rawak yang panjang, jauh melebihi sepuluh aksara yang dicadangkan sesetengah panduan, kerana sesiapa yang menangkap jabat tangan itu boleh menyerang kunci di luar talian.

Setiap klien pada profil itu berkongsi rahsia, jadi mengeluarkan seorang bermakna mengagihkannya semula kepada semua yang tinggal. Kekalkan langkah pengesahan pengguna yang berasingan di atas rahsia peringkat mesin, dan beralih kepada sijil apabila populasi klien bertambah. Kunci pra-kongsi digabungkan dengan MS-CHAPv2 ialah dua lapisan lemah, dan yang kedua membatalkan yang pertama.

Kebenaran terletak dalam Network Policy Server

NPS pada Windows menentukan siapa yang boleh menyambung, dan ia berbuat demikian selepas pengesahan sudah berjaya. Pemisahan itu ialah kawalan pengukuhan paling berguna dalam produk ini, dan banyak penggunaan membiarkannya tidak disentuh.

Gunakan syarat dasar yang mencerminkan kekangan sebenar: keahlian kumpulan, tetingkap masa apabila sokongan mempunyai kakitangan, dan keadaan peranti daripada pemeriksaan kesihatan. Tambah faktor kedua di tempat data mewajarkan geseran itu, dan ingat bahawa dasar dinilai bagi setiap percubaan sambungan, yang menjadikannya kawalan hidup dan bukan dokumen.

Perakaunan RADIUS juga memberikan anda satu rekod tentang siapa yang menyambung dan bila. Log itu ialah perbezaan antara semakan insiden dan tekaan, dan ia wujud sama ada seseorang membacanya atau tidak.

Hadkan apa yang boleh dicapai oleh log masuk yang berjaya

Penyesuai VPN sepatutnya mendarat dalam profil tembok api yang membenarkan perkhidmatan yang diperlukan oleh peranannya dan bukan seluruh subnet. Persoalan penghalaan adalah berasingan daripada penapisan. Terowong penuh melindungi peranti klien dan menolak setiap bait melalui pautan atas anda, manakala terowong berpecah mengekalkan trafik tempatan sebagai tempatan dan mendedahkan peranti kepada rangkaian mana pun ia berada.

Tiada satu pun daripada kedua-dua pilihan itu ialah lalai keselamatan. Kedua-duanya perlu ditulis di sebelah profil tembok api yang mereka andaikan.

Sahkan laluan kegagalan

Uji apa yang sepatutnya rosak: kata laluan salah, sijil tamat tempoh, peranti dibatalkan, pengguna di luar kumpulan. Setiap satu sepatutnya gagal pada titik yang berbeza, dan log sepatutnya menyatakan yang mana. Jalankan set itu pada akaun ujian dahulu, kemudian ulangi untuk pengguna sebenar. Penolakan yang masuk ke log peristiwa tanpa sebab wajar dibetulkan jauh sebelum anda memerlukan rekod itu.

Kemudian sahkan port mana yang diterbitkan dan mengapa. PPTP memerlukan TCP 1723 dan GRE sebagai protokol IP dan bukan port, IKEv2 memerlukan UDP 500 dan 4500, dan L2TP memerlukan UDP 1701 serta IPsec. Mendedahkan antara muka pengurusan supaya klien boleh menyambung bukan pembaikan, ia ialah insiden kedua yang menunggu ditemui.

Akhir sekali, putuskan apa yang direkodkan pelayan dan berapa lama. Titik akhir tanpa sejarah pengesahan tidak dapat menjawab soalan pertama selepas insiden, iaitu sama ada percubaan itu pernah dibenarkan.