Iffriżar tal-kont kontra projbizzjoni tal-indirizz: fejn OpenVPN fil-fatt jgħodd

L-iblokkar ta’ indirizz u l-iffriżar ta’ kont huma żewġ mekkaniżmi differenti, u jfallu f’direzzjonijiet opposti. Projbizzjoni tal-indirizz twaqqaf sors wieħed u l-kont fil-mira jibqa’ jintlaħaq minn x’imkien ieħor; l-iffriżar tal-kont iwaqqaf dik l-identità kullimkien, anke fuq il-laptop tal-utent stess.

Għal VPN li tiddelega l-awtentikazzjoni lil PAM, il-kontatur huwa dak li jilħaq il-munzell PAM, mhux dak li rreġistra s-semmiegħ.

Żewġ kontaturi, żewġ vittmi differenti

Min jillimita r-rata jħares lejn sors u jistaqsi kemm waslu tentattivi minnu dan l-aħħar. L-iffriżar iħares lejn identità u jistaqsi kemm fallimenti ġabar dak il-kont. L-ewwel jipproteġi d-disponibbiltà, it-tieni l-kredenzjali; ħadd ma jieħu post l-ieħor.

Għalhekk is-sentenza aħna niblokkaw l-IP wara ħames fallimenti mhix tweġiba għal rapport dwar mili ta’ kredenzjali. L-attakkant ibiddel is-sorsi, kull wieħed jieħu ftit tentattivi, u l-kont qatt ma jiġi magħdud. Bil-maqlub, iffriżar mingħajr kontroll tas-sors iħalli lill-attakkant iżomm il-kont imsakkar bla tarf billi jonqos apposta.

Iż-żewġ kontrolli għandhom ukoll stejjer ta’ rkupru differenti. Projbizzjoni tal-indirizz tiskadi b’timer li ħadd m’għandu jaħseb dwaru; iffriżar tal-kont jista’ jkun jeħtieġ amministratur, perjodu ta’ stennija dokumentat jew reset ta’ awto-servizz.

Sib il-maħżen li diġà għandu l-għadd

Qabel ma żżid xi ħaġa, sib jekk teżistix diġà maħżen tal-fallimenti. Kont Linux lokali, servizz tad-direttorju u fornitur tal-identità estern kull wieħed iżomm l-għadd tiegħu, u modulu PAM quddiemhom joħloq tieni minflok ma jestendi l-ewwel.

grep -rnE 'faillock|pam_tally|pam_unix' /etc/pam.d/
ls -l /etc/pam.d/ | head -20

Aqra l-fajl tas-servizz li l-VPN tassew isemmi u segwi l-linji tal-inklużjoni tiegħu. F’ħafna distribuzzjonijiet is-servizz tal-VPN jinkludi fajl komuni, li jfisser li l-għadd li qed taġġusta jgħodd ukoll għal SSH u għad-dħul lokali.

Jekk id-direttorju diġà jinfurza ffriżar, il-mistoqsija utli hija kif il-konversazzjoni PAM tasal għal dik id-deċiżjoni u kif il-VPN tirrappurtaha. Għadd lokali fuqha ma jsirx il-kontatur tad-direttorju, u ż-żewġ politiki jistgħu ma jaqblux dwar meta jinfetaħ il-kont.

pam_faillock għandu tliet pożizzjonijiet ta’ sejħa, mhux waħda

Il-modulu jissepara tliet operazzjonijiet li linja kkupjata waħda normalment ċċajpar: verifika jekk il-kont huwiex diġà msakkar, reġistrazzjoni ta’ falliment u tħassir tal-istorja wara suċċess.

Hawn normalment tiżbalja l-migrazzjoni minn modulu tal-għadd eqdem. L-ikkupjar ta’ linja minn eżempju pam_tally2 li jaħdem f’munzell pam_faillock mhix bidla ta’ isem; is-setup dokumentat huwa differenti, u sejħa mqiegħda ħażin tista’ tirreġistra fallimenti mingħajr qatt ma tivverifikahom.

faillock --user alice
faillock --user alice --reset

L-għodda tal-ispezzjoni hija l-eħfef mod kif tara jekk il-kontatur huwiex reali: turi l-fallimenti rreġistrati għal kont u tista’ tħassarhom. Jekk falliment ikkontrollat ma jbiddilx dak l-output, il-pożizzjoni tas-sejħa hija ħażina.

Isem ta’ servizz iddedikat mhuwiex iżolament

Li tagħti lill-VPN fajl tas-servizz PAM tiegħu jagħmel il-politika maħsuba viżibbli, iżda ma jillimitax l-effett. Kull inklużjoni ta’ fajl komuni ġġib miegħha dak li jagħmel dak il-fajl, inklużi għadd għas-sistema kollha.

Iddeċiedi b’mod ċar jekk l-iffriżar għandux ikopri biss l-aċċess tal-VPN jew kull servizz li jawtentika l-istess kont. Iż-żewġ tweġibiet huma difendibbli; il-falliment huwa li temmen li għażilt waħda filwaqt li l-munzell jimplimenta l-oħra.

Imbagħad ikkunsidra l-ispiża. Attakkant jista’ jikkawża l-iffriżar, u l-utent li jbati huwa s-sid tal-kont. Il-limitu, il-perjodu ta’ stennija u t-triq amministrattiva tal-irkupru huma parti mill-politika, u l-irkupru m’għandux jiddependi mill-konfigurazzjoni mill-ġdid tal-VPN waqt inċident.

Aċċetta s-sekwenza, mhux rifjut wieħed

Ittestja b’identitajiet magħżula taħt pjan approvat, u ittestja katina mhux avveniment wieħed: kont validu jawtentika, password żbaljata apposta tmexxi l-kontatur, l-iffriżar ikkonfigurat jidħol fis-seħħ, u l-irkupru dokumentat jerġa’ jagħti l-aċċess.

faillock --user test-vpn-01
journalctl -u openvpn-server@lab -n 30 --no-pager | grep -i 'auth\|pam'

Ara l-imġiba tas-suċċess bl-istess attenzjoni bħall-imġiba tal-falliment. Jekk dħul b’suċċess ma jħassarx l-istorja, il-kont jissakkar wara akkumulazzjoni bil-mod ta’ żbalji ordinarji. Jekk iħassar kollox minn kull servizz, il-kontatur huwa aktar dgħajjef milli tgħid il-politika.

Fl-aħħar, waqqaf il-klijenti mhux sorveljati qabel ma tiddikjara r-rebħa. Kredenzjali salvati li jerġgħu jippruvaw fl-isfond se jerġgħu joħolqu l-fallimenti ftit minuti wara l-irkupru u jerġgħu jsakkru l-kont. Il-limitazzjoni tar-rata bbażata fuq is-sors tista’ tibqa’ bħala kontroll addizzjonali, iżda mhix il-politika tal-kont.