Id-dħul fil-VPN jieqaf wara Access-Challenge ta’ RADIUS

Il-password tiegħek hija tajba, id-dħul fil-VPN xorta jonqos, u s-server RADIUS jista’ jkun għamel eżattament dak li ntalab minnu. Il-gateway x’aktarx irċieva Access-Challenge, ma wera xejn utli, u mbagħad skada jew ittratta dik ir-risposta bħala rifjut. Mill-ġenb tal-klijent tidher bħal kredenzjali ħżiena jew tunnel imkisser. Il-kawża normalment tinsab f’nofs konverżazzjoni li ħadd ma qabadha.

Dħul wieħed, żewġ skambji RADIUS

Meta l-backend irid it-tieni fattur, ma jwieġebx l-ewwel talba b’aċċettazzjoni jew rifjut. Iwieġeb bil-kodiċi 11 u jistenna r-risposta li jmiss tal-utent, li l-gateway irid jibgħatha lura fi talba ta’ segwitu. Dik it-talba ta’ segwitu tappartjeni għall-istess konverżazzjoni ta’ awtentikazzjoni, mhux għal tentattiv ġdid ta’ dħul.

F’konfigurazzjoni li taħdem, l-utent jara t-tieni talba: l-ewwel il-password, imbagħad kodiċi ta’ darba, jew talba waħda kkombinata jekk l-operatur iddokumenta waħda. F’konfigurazzjoni miksura, it-tieni talba qatt ma tidher u d-dħul sempliċement jonqos.

Dan huwa s-sintomu li għandu jiġi segwit, u huwa faċli li tiġi kkonfermata mill-ġenb tal-klijent biss: jekk il-klijent VPN jitlob eżattament sigriet wieħed u mbagħad jirrifjuta password li taf li hija valida, l-iskambju x’aktarx spiċċa fl-isfida.

X’iġġorr tassew l-isfida

L-ispeċifikazzjoni RADIUS tiddeskrivi l-kodiċi 11 fit-taqsima 4.4 u tippermetti żewġ attributi li jgħoddu hawn. Reply-Message iżżomm test għall-utent, u State iżżomm valur opak li s-server irid lura. In-NAS m’għandux jinterpreta State, biss jirritornah bla bidla.

It-talba ta’ segwitu tuża Identifier ġdid u Request Authenticator ġdid, u trid iġġorr l-istess valur State flimkien mar-risposta tal-utent. Is-server tgħaqqadha mal-isfida pendenti permezz ta’ dak State, u għalhekk gateway li jerġa’ jiġġenera jew jitlaq l-attribut ma jistax itemm iċ-ċerimonja. Anki r-response authenticator f’kull risposta trid tiġi validata, inkella n-NAS għandu jarmi l-pakkett.

It-taqsima 4.4 iżżid id-dettall li jispjega l-biċċa l-kbira tal-fallimenti siekta: NAS li ma jistax jappoġġja sfidi jittratta Access-Challenge bħala rifjut. Jekk is-servizz VPN tal-gateway tiegħek huwa eqdem minn dak l-appoġġ jew jħallih barra, it-talba tal-backend għat-tieni fattur issir «awtentikazzjoni falliet» immedjata mingħajr ebda talba.

Fejn jintilef it-talba mqabbda

L-ewwel suspett huwa t-triq tat-talba, mhux il-kredenzjali. Portal li juri qasam OTP għad-dħul web ma jagħmilx dan awtomatikament għas-servizz VPN, u xi gateways jgħaddu sfida biss lill-klijenti li jħabbru dik il-kapaċità. Ipprova l-istess kont fiż-żewġ punti tad-dħul; jekk il-portal jaħdem u l-VPN le, qed tara l-konsenja, mhux it-token.

Il-format tal-input huwa t-tieni suspett. Li tikkatina password u kodiċi mingħajr is-separatur iddokumentat mill-fornitur, jew tħalli kredenzjali maħżuna jerġgħu jdoqqu kodiċi antik, jonqos b’mod li jidher identiku għal password ħażina. Uża t-talba separata jew il-format kombinat iddokumentat mill-operatur, u qatt tivvinta separatur.

Difetti speċifiċi għall-ħruġ jeżistu, iżda lista ta’ verżjonijiet imsewwija minn snin ilu mhijiex dijanjożi għall-iskjerament tal-lum. Aqra n-noti tal-ħruġ tas-software li tassew tmexxi, u żomm l-istadju tal-iskambju osservat bħala l-evidenza tiegħek.

Segwi tentattiv wieħed mill-bidu sat-tmiem

Irriproduċih darba, bid-debugging fuq in-naħa tas-server mixgħul, u żomm kull sessjoni oħra barra mit-tieqa tal-qbid:

$ sudo radsniff -i eth0 -x -f 'udp port 1812'
$ sudo freeradius -X
$ radtest alice 'password' 127.0.0.1 0 testing123

Fl-output fittex il-forma tal-konverżazzjoni aktar milli linja waħda. L-ewwel Access-Request b’Identifier 3, Access-Challenge li ġġorr State, imbagħad it-tieni Access-Request b’Identifier 4 li tirrepeti dak State u tinkludi r-risposta tal-utent. Jekk it-tieni talba hija nieqsa, il-gateway qatt ma segwa. Jekk tasal mingħajr State, is-server ma jistax tgħaqqadha mal-isfida pendenti u normalment jirrifjutaha.

Meta taqsam it-traċċa, aħbi l-kredenzjali, it-tokens u d-data tal-identità mhux meħtieġa, u korrela l-avvenimenti minn tentattiv wieħed minflok tħallat tentattivi mill-ġdid minn diversi tabs tal-browser. It-timbri tal-ħin huma ħbieb tiegħek hawn; sfida li tasal wara li l-klijent ċeda tidher bħala rifjut għall-utent u bħala risposta bil-mod fil-log.

L-istat finali li trid huwa konverżazzjoni kompluta u awtorizzata, segwita mill-aċċess maħsub għas-servizz. Risposta li tasal mis-server RADIUS tipprova ħafna inqas minn hekk.