Il-konfigurazzjoni VPN pubblika waqfet taħdem? Aqra l-istadju tal-falliment

Il-profil ħadem it-Tlieta, u l-Ġimgħa l-klijent idur tletin sekonda u jċedi. Xejn fuq il-magna tiegħek ma nbidel. Dan huwa eżattament il-punt: konfigurazzjoni mniżżla tiddeskrivi wieħed host f’mument wieħed, u l-operatur fuq in-naħa l-oħra m’għandu l-ebda obbligu li jżomm dik id-deskrizzjoni vera. It-tentazzjoni hija li tibda tedita s-settings tas-sigurtà sakemm it-tunnel jerġa’ jitla’. Dak l-istint huwa r-raġuni għaliex in-nies jispiċċaw iħaddmu profil b’verifika taċ-ċertifikat ittfiija, li huwa agħar milli ma jkollokx tunnel xejn.

Il-fajl jiddeskrivi mument, mhux kuntratt

Fajl ta’ konfigurazzjoni huwa sett ta’ asserzjonijiet: dan l-isem tal-host jisma’ fuq dan il-port b’dan il-protokoll, jippreżenta ċertifikat li jaqbel ma’ dan l-isem, u jaċċetta dawn il-kredenzjali. Meta waħda minnhom ma tibqax vera, il-fajl ikun skadut u t-tiswija tappartjeni lin-naħa tal-operatur tal-fruntiera, mhux lis-settings tiegħek.

Listi ta’ nodi pubbliċi jagħmlu dan espliċitu min-natura tagħhom. In-nodi jitħaddmu minn voluntiera, jidhru u jisparixxu, l-indirizzi jiġu riċiklati u l-portijiet jiġu mblukkati min-network li jkunu warajh. Il-lista hija istantanea li tiġi ġġenerata mill-ġdid, u l-kopja fuq id-diska tiegħek hija ritratt ta’ istantanea eqdem.

Is-servizzi kummerċjali jinbidlu aktar bil-mod, imma mhux qatt. L-awtoritajiet taċ-ċertifikati jduru, min jisma’ jitmexxa minn indirizz kondiviż għal wieħed dedikat, protokoll antik jiġi rtirat u tasal lista ġdida ta’ ċifrar. Kull wieħed minn dawn huwa inviżibbli sakemm il-klijent tiegħek jipprova jikkonnettja u jirċievi tweġiba differenti minn dik li l-fajl jistenna.

Aqra l-istadju tal-falliment qabel ma tmiss setting

Il-messaġġ tal-iżball jgħid liema asserzjoni nqasmet, u kull asserzjoni għandha tiswija kompletament differenti. L-editar taċ-ċifrar meta l-isem tal-host ma jiġix solvut iżjed jaħli wara nofsinhar u ma jgħallem lil ħadd xejn.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Il-linja tan-nofs tifred triq imblukkata minn handshake miksur, u t-tielet waħda turi l-emittent u d-dati tal-validità taċ-ċertifikat li jiġi ppreżentat fil-fatt. Jekk dak l-emittent mhuwiex dak li l-profil pinna, iċ-ċertifikat inbidel, u l-ebda għażla fuq in-naħa tal-klijent ma terġa’ tagħmel il-pin antik korrett.

Il-bidliet taċ-ċertifikat u tal-identità huma dawk siekta

Il-biċċa l-kbira tal-fallimenti jħabbru lilhom infushom. Il-bidliet tal-identità le, għax klijent li jpinna isem taċ-ċertifikat se jirrifjuta ċertifikat ġdid tajjeb għalkollox b’messaġġ li ħafna jinqraw bħala bug. It-tunnel huwa sew. Il-pin huwa skadut.

Fittex l-għażliet tal-identità qabel ma tikkonkludi xejn:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Jekk il-profil iġorr CA inkorporata u l-operatur għadda għal awtorità ġdida, il-fajl antik ma jistax jivvalida s-server ġdid. Is-sostituzzjoni tal-blokk CA b’dak ippubblikat mill-operatur hija tiswija leġittima. It-tħassir tad-direttiva tal-verifika mhuwiex, u dawn huma l-istess tkarkir tal-keys b’riżultat ferm differenti.

Aġġornament tal-klijent jista’ jipproduċi l-istess sintomu mingħajr ebda bidla mill-operatur. Għażliet li kienu tollerati fis-skiet issa huma miċħuda, jew protokoll skadut jitneħħa. Dan huwa limitu ta’ kompatibilità fis-software tiegħek, u jiswa l-piż li tipprova t-tieni profil bl-istess klijent qabel ma tagħti l-ħtija lis-server.

L-operatur biss jista’ jippubblika sostituzzjoni valida

Meta nod jisparixxi, is-sostituzzjoni trid tiġi mill-istess sors li ppubblika l-oriġinal. Profil li jasal fi messaġġ dirett għax «juża l-istess isem tas-server» hija konfigurazzjoni mhux ivverifikata minn parti mhux magħrufa, u l-importazzjoni tagħha tagħti lil dik il-parti l-kontroll tar-routing tiegħek.

Il-verifika hija rħisa. Ġib il-fajl attwali mill-post ippubblikat, qabbel il-punt tat-tmiem u l-protokoll mal-lista, u kkonferma l-marka tas-swaba’ tal-materjal CA minflok ma tafda l-isem tal-fajl:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Jekk iż-żewġ hashes jiddivarjaw biss fl-ispazji, għandek bidla fil-format. Jekk jiddivarjaw fil-punti tat-tmiem, l-operatur mexxa xi ħaġa u l-fajl ippubblikat huwa l-awtorità. Jekk il-fajl ippubblikat huwa eqdem minn dak li għandek, probabilment qed tħares lejn cache, u t-tweġiba skaduta se tibgħat lilek fid-direzzjoni żbaljata.

Irtira d-dħul antik u rreġistra x’ġara

Ladarba sostituzzjoni li taħdem tkun ivverifikata, ħassar il-profil antik minflok ma żżommu bħala riżerva. Dħul skadut li jikkonnettja bin-nofs huwa nassa: se jintgħażel waqt waqfa, se jonqos bil-mod, u min ikun qed jiddebjaħ se jqatta’ l-ewwel għaxar minuti fuq il-fajl żbaljat.

Żomm rekord qasir barra mill-konfigurazzjoni: id-data, il-punt tat-tmiem antik, l-istadju tal-falliment u x’sostitwihom. In-nodi pubbliċi jduru, u sitt ġimgħat wara l-istess mistoqsija tasal ma’ persuna oħra. Linja waħda f’fajl tan-noti twieġebha fi ftit sekondi.

Jekk minn network wieħed kull nod jonqos bl-istess mod u minn ieħor ebda wieħed, waqqaf l-editar tal-profili u ħares lejn it-triq lokali. Portal captive, firxa ta’ portijiet iffiltata jew proxy li jinterċetta se jipproduċu żbalji identiċi f’fornituri mhux relatati, u dak il-mudell huwa l-unika sinjal li l-problema qatt ma kienet il-fajl.