Għaliex PPP CHAP waħdu ma jistax jissodisfa rekwiżit MPPE

Profil PPTP li jinsisti fuq il-kriptaġġ normalment ifalli fl-istess post: PPP jaqbel fuq skambju ta’ awtentikazzjoni li qatt ma jipproduċi l-materjal tal-keys li MPPE jeħtieġ. It-tunnel jidher nofsu ħaj, il-password tiġi aċċettata, u l-link jaqa’ qabel ma jgħaddi minnu xi traffiku. It-tmexxija lejn il-menu tal-CHAP sakemm xi ħaġa tikkonnettja taħbi d-difett veru, u dak hu kuntratt bejn il-metodu ta’ awtentikazzjoni u l-politika tal-protezzjoni. Il-verifiki hawn taħt huma ordnati sabiex kull wieħed jeskludi kawża orħos minn dik li jmiss.

Żewġ negozjati jimxu ġewwa konnessjoni PPTP waħda

PPTP iġorr sessjoni PPP normali ġewwa tunnel GRE, u t-tnejn jinnegozjaw separatament. Is-saff ta’ barra jiddeċiedi kif il-pakketti jiġu inkapsulati u liema kanal ta’ kontroll jeżisti; is-sessjoni PPP ta’ ġewwa tiddeċiedi min hu l-peer u liema protezzjoni tirkeb fuqha. Għalhekk talba għall-password turi biss xi ħaġa dwar is-saff ta’ ġewwa, u handshake ta’ barra komplut ma juri xejn dwar ebda waħda minnhom. Il-profili jfallu hawn għax in-nies jiddebuggjaw it-tunnel waqt li d-diżakordju joqgħod ġewwa PPP.

CHAP sempliċi huwa l-iskambju ta’ sfida u tweġiba f’RFC 1994, mibni fuq sigriet kondiviż u xejn aktar. MS-CHAPv2 huwa skambju differenti b’messaġġi differenti u output differenti, standardizzat f’RFC 2759. Il-kelma kondiviża fiż-żewġ ismijiet hija l-unika ħaġa li għandhom komuni fuq il-wajer. L-ebda isem ma jgħid x’jipproduċi l-iskambju, u dik hija l-unika parti li timporta.

Għalhekk għażla mmarkata sempliċement CHAP hija ambigwa fi profil antik. Meta s-server irid MS-CHAPv2 u l-klijent joffri CHAP sempliċi, il-kontroll tal-link xorta jista’ jitlesta u password xorta tista’ tiġi aċċettata. Il-falliment jiġi aktar tard, meta s-server jipprova jiddeduċi keys tal-protezzjoni minn skambju li ma pproduċa xejn.

Qabbel il-metodu meħtieġ mal-keys li jista’ jipproduċi

Il-keys tal-MPPE mhumiex proprjetà tal-PPP b’mod ġenerali. Għall-familja Microsoft CHAP id-derivazzjoni hija speċifikata f’RFC 3079, u tieħu bħala input l-output ta’ skambju MS-CHAP minflok sigriet kondiviż. Il-metodi EAP jaslu fl-istess post b’rotta differenti, bis-server tal-awtentikazzjoni jirritorna l-keys bħala attributi MS-MPPE-Recv-Key u MS-MPPE-Send-Key. CHAP sempliċi ma jidhirx fl-ebda rotta, u dan huwa r-raġuni kollha għaliex teżisti din id-diskrepanza.

Konfigurazzjoni li tirrikjedi MPPE filwaqt li tirrifjuta kull metodu kapaċi jforni keys hija internament kontradittorja. pppd issolvi dik il-kontradizzjoni billi tirrifjuta l-link, mhux billi tivvinta keys, għalhekk ir-riżultat viżibbli huwa sessjoni li tawtentika ruħha u mbagħad tispiċċa fil-fażi tan-netwerk. Li terġa’ tipprova l-klijent ma jbiddilx dan sakemm is-server jirrifjuta l-uniċi metodi li jiddeduċu xi ħaġa.

Ir-regola li ssegwi hija qasira: jekk il-profil jirrikjedi MPPE, il-metodu għandu jkun varjant ta’ MS-CHAP jew metodu EAP li l-keys tiegħu s-server jirritorna. Li tirrifjuta biss MS-CHAPv2 ma jinfurzax dan, għax MS-CHAPv1 ukoll jiddeduċi keys u jibqa’ disponibbli sakemm ma jiġix rifjutat separatament; li tirrifjuta t-tnejn iħalli CHAP sempliċi u PAP, li ma jiddeduċu xejn u jagħmlu r-rekwiżit impossibbli li jissodisfa. Semmi l-metodu aċċettat b’mod espliċitu minflok ma telenka dawk li ma togħġbokx. Li tħalli r-rekwiżit tal-kriptaġġ biex klijent jikkonnettja hija degradazzjoni, mhux tiswija.

Aqra l-għażliet tas-server qabel ma teditja klijent

Il-biċċa l-kbira ta’ dawn id-diskrepanzi huma viżibbli fuq is-server f’żewġ fajls, u li taqrahom tiswa inqas milli tibni mill-ġdid klijent. Fuq endpoint PPTP Linux l-issettjar rilevanti jgħix fil-fajl tal-għażliet ta’ pppd li tgħaddi pptpd. Mexxiha fuq is-server, mhux minn skrin tal-istat tal-klijent. Ibda bil-linji li jirrikjedu, jirrifjutaw jew isemmu mod ta’ protezzjoni:

sudo grep -nE 'require-|refuse-|mppe|mschap' /etc/ppp/options.pptpd

Aqra l-output bħala kuntratt u mhux bħala lista ta’ flags. Linja li tirrikjedi MPPE filwaqt li tirrifjuta ż-żewġ varjanti MS-CHAP ma tistax tiġi sodisfatta minn ebda klijent, u rekwiżit nieqes għal metodu MS-CHAP iħalli l-bieb miftuħ għal skambji li ma jagħtux keys. Imbagħad iċċekkja min huwa permess li jawtentika xejn, li jiddeċiedi l-fajl tas-sigrieti:

sudo sed -n '1,20p' /etc/ppp/chap-secrets
sudo pppd --version

Ikteb tliet valuri qabel ma tbiddel xejn: il-protokoll ta’ barra, il-metodu ta’ awtentikazzjoni li jirrikjedi s-server, u jekk il-protezzjoni hijiex obbligatorja jew fakultattiva. Dawk it-tlieta jiddeterminaw kull deċiżjoni sussegwenti, u li taqbadhom minn djalogu tal-klijent huwa kif profil jispiċċa nofsu konfigurat. Żomm il-fajl miftuħ waqt li taħdem, għax it-taqsima li jmiss teħtieġ l-istess tliet valuri.

Sib il-falliment skont il-fażi tal-PPP

PPP jirrapporta l-fallimenti fi fażijiet, u l-fażi tgħid liema klawżola tal-kuntratt inkissret. Link li qatt ma jitlaq mill-kontroll tal-link għandu problema ta’ inkapsulament jew negozjar, filwaqt li wieħed li jawtentika u mbagħad imut normalment ikollu problema ta’ politika jew key. Link li jibqa’ ’l fuq u ma jġorr xejn għadda għall-irrotar, li hija investigazzjoni oħra.

Il-ġurnal iżomm il-linji tal-fażi, u huma aktar utli minn livell ta’ debug ogħla. Itlob il-proċessi PPP u l-messaġġi tal-protezzjoni, imbagħad aqra r-riżultat tal-awtentikazzjoni qabel kull ħaġa oħra. L-aħħar linji normalment isemmu l-klawżola li rrifjutat:

sudo journalctl -b --no-pager | grep -iE 'pppd|pptpd|mppe|chap' | tail -40

F’dak l-output, fittex l-ewwel ir-riżultat tal-awtentikazzjoni u mbagħad ilment li l-protezzjoni kienet meħtieġa imma ma ġietx negozjata. It-tieni messaġġ huwa l-firma tal-kontradizzjoni hawn fuq, u ebda ammont ta’ tentattivi mill-ġdid ma jneħħiha sakemm is-server jirrifjuta l-uniku metodu li jista’ jipproduċi keys. Żewġ nases jistħoqqilhom jissemmew: li tgħolli l-livell ta’ debug mingħajr ma taqra l-linji tal-fażi jipproduċi storbju, u li taqbad materjal ta’ sfida jew passwords ibiddel kompitu ta’ konfigurazzjoni f’telf ta’ kredenzjali. Irreġistra dik il-fażi qabel ma tbiddel xi għażla.

Ippjana l-ħruġ qabel ma jintefa l-endpoint antik

MPPE huwa mekkaniżmu storiku ta’ protezzjoni tal-link, u l-preżenza tiegħu ma tagħmilx PPTP għażla sensibbli għal skjerament ġdid. Il-gwida attwali ta’ Microsoft diġà tavża kontra PPTP u kontra L2TP/IPsec b’key kondiviża minn qabel għal skjeramenti ġodda ta’ aċċess mill-bogħod. Li żżomm endpoint antik ħaj hija deċiżjoni dwar servizz eżistenti, mhux mudell għal dak li jmiss.

Meta l-endpoint irid jibqa’, ikteb il-kuntratt: protokoll ta’ barra, metodu ta’ awtentikazzjoni meħtieġ, protezzjoni obbligatorja u l-verżjoni tal-klijent li tinnegozjah. Meta jista’ jitlaq, agħżel l-identità tal-gateway tas-sostitut, l-awtentikazzjoni tal-klijent tiegħu u fejn se jgħixu l-kredenzjali qabel ma tmiss il-profil antik. Imbagħad ippjana rotot, DNS u r-riżorsi li kull utent huwa awtorizzat jilħaq. Ivvalida l-klijent maħsub kontra r-rekwiżiti tas-sid u mhux kontra konnessjoni li taħdem.

Rifjut deliberat għandu jibqa’ rifjut, għax li tmur lura għal mod mhux protett biex test jgħaddi jbiddel falliment ta’ politika f’espożizzjoni. L-istat lest huwa kuntratt appoġġjat u dokumentat, mhux l-iżgħar sett ta’ bidliet li jagħmel konnessjoni antika waħda tirnexxi. Ħalli l-profil antik fil-post tiegħu, mhux użat u dokumentat, sakemm is-sostitut jgħaddi mill-istess verifiki.