Irtirar ta’ PPTP/MS-CHAPv2: runbook għal VPN antika

Passwords ta’ għoxrin karattru, li jinbidlu kull xahar u jinżammu f’sejf, ma jibdlu xejn: server PPTP li jħaddem MS-CHAPv2 ma jsirx VPN moderna. Il-password hija input għal skambju li d-dgħufija tiegħu tinsab fl-iskambju stess. Dan ir-runbook huwa għal min wera s-server u jrid iċaqlaq l-utenti minnu mingħajr ma jaqta’ s-sit li jiddependi minnu. Mexxi l-passi fl-ordni, għax kull wieħed iħalli rekord li se jkollok bżonnu meta xi ħadd jistaqsi għaliex l-aċċess inbidel f’daqqa.

Ikteb l-istack qabel ma tmiss xejn

Tliet saffi jingħaqdu fil-kelma PPTP, u kull wieħed ifalli b’mod tiegħu. It-tunnell huwa PPTP stess, GRE flimkien ma’ TCP 1723. L-awtentikazzjoni hija l-metodu PPP li joffri s-server, hawn MS-CHAPv2. Il-protezzjoni tal-link hija MPPE, li ċ-ċwievet tagħha jiġu derivati minn dak l-iskambju ta’ awtentikazzjoni. Li ssemmi t-tlieta kollha jwaqqaf li tiswija aktar tard tinżel fuq is-saff żbaljat.

Aqra l-konfigurazzjoni ħajja minflok tafda paġna wiki, u noti l-fajl, is-semmiegħ u l-aħħar sessjonijiet li ġew awtentikati.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

F’rwol ta’ aċċess remot ta’ Windows l-istess inventarju jiġi minn żewġ kmandi, u t-tieni wieħed huwa importanti għax rwol jista’ jirreklama diversi metodi fl-istess ħin waqt li l-klijenti fil-qasam dejjem jinnegozjaw biss l-aktar dgħajfa.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Iddeċiedi x’qed iġorr it-tunnell illum fil-verità

Elenka l-utenti qabel tagħżel sostitut: laptops li jivvjaġġaw, router tal-fergħa, terminal tal-ħlas, sett ta’ tablets fil-qasam. Utent li għandu biss jilħaq host intern wieħed huwa faċli li jiċċaqlaq. Utent inkorporat f’hardware li ma tistax terġa’ tifflaxxja jista’ jkollu bżonn gateway intermedju minflok aġġornament tal-klijent, u dik id-deċiżjoni tappartjeni lill-pjan, mhux nofs it-tranżizzjoni.

Imbagħad staqsi x’jikseb attakkant li jista’ josserva l-iskambju tal-login jew jinfluwenzah. Ma’ MS-CHAPv2 it-tweġiba tinkludi materjal li jippermetti rkupru offline tal-password tal-utent, u huwa proprju għalhekk li t-tul u r-rotazzjoni ma jsewwux id-disinn: is-sigriet irkuprat huwa validu fuq kull sistema fejn l-utent użah mill-ġdid.

MPPE tiret l-istess dgħufija, għax iċ-ċwievet tagħha jiġu minn dak l-iskambju, u ma tagħtikx l-integrità ta’ kull pakkett u l-imġiba ta’ ripetizzjoni ta’ ċifrar AEAD modern. Sessjoni li tiġi awtentikata b’mod nadif ippruvat biss kompatibilità mal-verifiki konfigurati u xejn aktar.

La pawża qasira tal-ikel u lanqas numru żgħir ta’ utenti ma jibdlu proprjetà kriptografika fi proprjetà ta’ politika.

Mexxi l-migrazzjoni fi ħdan tieqa waħda ta’ manutenzjoni

Qajjem is-sostitut, ippruvah b’grupp pilota wieħed, u mbagħad waqqaf is-semmiegħ antik minflok tħallih bħala rikors sieket. Rikors li kulħadd għadu jista’ jilħaq mhuwiex migrazzjoni, u jżomm l-iskambju dgħajjef disponibbli proprju għall-utenti li qatt ma jagħtu kas li jaqilbu.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Agħlaq it-triq tal-firewall fl-istess tieqa. GRE m’għandux port li wieħed jiftakar, għalhekk regola li tippermetti l-protokoll 47 bin-numru tinqabad faċilment u tħalli s-servizz jintlaħaq anke wara li d-daemon ikun telaq. Irreġistra r-regola li neħħejt, il-pożizzjoni preċedenti tagħha u r-raġuni, sabiex reviżjoni tal-bidliet aktar tard ma terġax iġġibha b’inċident.

Ħu ħsieb il-kredenzjali separatament mill-konfigurazzjoni. It-tneħħija ta’ profil tal-klijent mhix revoka, u kont li għadu jiġi awtentikat x’imkien ieħor għadu ma rtirax.

Ivverifika li s-sostitut jagħmel ix-xogħol li kien jagħmel PPTP

Il-lista ta’ verifika mhix “jaqbadx”. Hija jekk l-awtentikazzjoni, l-allokazzjoni tal-indirizzi, ir-riżoluzzjoni DNS, l-għażla tar-rotta, l-imġiba tar-rikonnessjoni u l-verifika tal-pari għadhomx iżommu taħt is-sostitut. Ipprova kull waħda fuq apparat pilota, f’dik l-ordni, u ikteb ir-riżultat osservat ħdejn l-aspettattiva.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Indirizz fuq l-interface jipprova li n-negozjati tlestew. Ma jipprovax li n-naħa l-bogħoda awtorizzat ir-rotta li tistenna, u l-mistoqsija hawn fuq twieġeb biss għal dan il-host, mhux għal LAN mibgħuta ’l quddiem. Tweġiba ta’ resolver tipprova l-aċċessibbiltà ta’ resolver, mhux li l-politika tad-DNS maqsum jibgħat l-ismijiet it-tajba hemmhekk.

Ittestja r-rikonnessjoni l-aħħar, għax hemmhekk il-biċċa l-kbira tas-sostituti jmorru lura: qiegħed laptop fl-irqad, ibdel in-netwerks, u kkonferma li t-tunnell jerġa’ jiġi stabbilit mingħajr ma jħalli rotot skaduti.

Rkupru, revoka u r-rekord li tħalli warajk

Ir-rikupru jerġa’ jġib is-servizz; ma jerġax iġib is-sigurtà, u d-differenza trid tingħad b’leħen għoli qabel ma tinfetaħ it-tieqa. Jekk it-triq il-ġdida tfalli, ġib l-utenti lura permezz ta’ tieni endpoint modern jew gateway temporanju, mhux billi terġa’ tixgħel PPTP għal kulħadd. Li żżomm triq waħda ta’ emerġenza fuq il-protokoll antik twessa’ l-espożizzjoni li għadek kif iddokumentajt.

Wara t-tranżizzjoni, irrevoka l-kontijiet li ġew awtentikati permezz ta’ PPTP, ħalli l-profili maħżuna tagħhom jiskadu, u kkonferma li r-regola GRE sparixxiet minn kull apparat tal-periferija, inkluż il-kopja tar-ripresa mid-diżastri li ħadd ma jiftakar fiha.

Ħalli rekord qasir: il-protokolli li sibt, id-data li fiha waqaf kull semmiegħ, il-verżjonijiet tal-klijent li jappoġġa s-sostitut, u s-sid li jista’ jerġa’ jiftaħ id-deċiżjoni. L-iġjene tal-passwords għadha importanti wara, iżda bħala iġjene fuq protokoll li jistħoqqlha, mhux bħala argument biex jibqa’ ħaj dak antik.