Spevnenie VPN vo Windows: opravte overovanie skôr než tunel

Váš server VPN vo Windows žiada používateľské meno a heslo a tento jediný dialóg skrýva tri nesúvisiace povinnosti. Jedna dokazuje, kto je človek, jedna bráni tomu, aby ten, kto sleduje linku, znova použil tento dôkaz, a jedna rozhoduje, na ktoré adresy sa potom smie dostať. Väčšina malých nasadení najprv spevní tunel a prvé dve povinnosti nechá na predvolených hodnotách, čo je nesprávne poradie.

Pracujte v poradí, v akom pracuje útočník. Najprv to, čo sa dá zachytiť z linky. Potom to, čo sa dá neskôr prehrať s tým záznamom. Nakoniec to, kam sa overený útočník dostane, keď už je vnútri.

Tri povinnosti, jeden dialóg

Identita je časť, o ktorej ľudia premýšľajú, a tvorí len tretinu problému. Dôkaz identity musí vydržať pozorovateľa, ktorý výmenu zaznamená a neskôr to skúsi znova. Autorizácia je samostatné rozhodnutie, ktoré server urobí po tom, čo je identita vyriešená, a Windows ju drží v inej službe než tej, ktorá overuje prihlasovacie údaje.

Keď všetky tri žijú v jednom myšlienkovom vedierku, zvyčajným výsledkom je server, ktorý silno overuje a potom používateľovi dovolí dostať sa ku všetkému. Opraviť to neskôr je ťažšie než rozhodnúť politiku teraz, pretože dovtedy profil brány firewall, fond adries aj trasy už kódujú starý predpoklad.

Oddeľte tri veci vo svojich poznámkach, skôr než sa dotknete nastavenia, a potom ich opravujte od najslabšieho článku nahor.

Prečo MS-CHAPv2 neprejde testom prehratia

Ak server stále prijíma PPTP s MS-CHAPv2, tunel heslo v žiadnom zmysluplnom zmysle nechráni. Výzvu a odpoveď možno zachytiť a zaútočiť na ne offline a v roku 2012 verejná služba na lámanie predviedla obnovenie z takéhoto podania rúk približne za deň pri typickom hesle. Dlhšie a zložitejšie heslo zvyšuje cenu; neodstraňuje materiál, ktorý útočník zo siete potrebuje.

Vlastnosť, ktorú chcete, je údaj, ktorý sa nedá prehrať. EAP-TLS s klientskymi certifikátmi dáva každému zariadeniu vlastnú identitu a umožňuje odvolať presne jedno zariadenie.

Nasadenie certifikátov je skutočná práca: súkromná CA, cesta odvolania, ktorú klienti kontrolujú, a plán obnovy, ktorý prežije fluktuáciu personálu. Berte tú prácu ako projekt, nie ako prekážku medzi vami a fungujúcim tunelom. Naplánujte na ňu rozpočet tak, ako by ste plánovali výmenu firewallu. Zdieľané heslo je lacnejšie len do prvého odvolania.

Vopred zdieľaný kľúč overuje dvojicu, nie človeka

L2TP/IPsec s vopred zdieľaným kľúčom dokazuje, že dve brány poznajú rovnaké tajomstvo. Nehovorí nič o tom, ktorý človek sa pripája, a na tej vrstve nedokáže rozlíšiť jedného zamestnanca od druhého. Použite dlhú náhodnú hodnotu, výrazne nad desiatimi znakmi, ktoré navrhujú niektoré príručky, pretože kto podanie rúk zachytí, môže kľúč napadnúť offline.

Každý klient v tomto profile zdieľa tajomstvo, takže odstránenie jedného človeka znamená jeho prerozdelenie všetkým ostatným. Držte samostatný krok overovania používateľa nad tajomstvom na úrovni stroja a s rastom počtu klientov prejdite na certifikáty. Vopred zdieľaný kľúč v kombinácii s MS-CHAPv2 sú dve slabé vrstvy a druhá ruší prvú.

Autorizácia patrí do Network Policy Server

NPS vo Windows rozhoduje, kto sa smie pripojiť, a robí to po tom, čo overenie už prebehlo úspešne. Toto oddelenie je najužitočnejšia spevňovacia kontrola v produkte a mnohé nasadenia ju nechávajú nedotknutú.

Používajte podmienky politiky, ktoré odrážajú skutočné obmedzenia: členstvo v skupine, časové okno, keď je podpora obsadená, a stav zariadenia z kontroly stavu. Pridajte druhý faktor tam, kde dáta odôvodňujú trenie, a pamätajte, že politika sa vyhodnocuje pri každom pokuse o pripojenie, čo z nej robí živú kontrolu, nie dokument.

Účtovníctvo RADIUS vám tiež dáva jeden záznam o tom, kto sa pripojil a kedy. Ten log je rozdiel medzi preskúmaním incidentu a dohadom a existuje bez ohľadu na to, či ho niekedy niekto číta.

Obmedzte, kam sa úspešné prihlásenie dostane

Adaptér VPN by mal pristáť v profile brány firewall, ktorý povoľuje služby potrebné pre jeho rolu a nie celú podsiete. Otázka smerovania je oddelená od filtrovania. Plný tunel chráni klientske zariadenie a ženie každý bajt cez vaše odchádzajúce spojenie, kým rozdelený tunel udržiava lokálnu prevádzku lokálnou a vystavuje zariadenie akejkoľvek sieti, v ktorej práve je.

Ani jedna z volieb nie je bezpečnostná predvolená hodnota. Obe treba zapísať vedľa profilu brány firewall, ktorý predpokladajú.

Overte cesty zlyhania

Otestujte, čo by sa malo pokaziť: nesprávne heslo, prepadnutý certifikát, odvolané zariadenie, používateľ mimo skupiny. Každé by malo zlyhať v inom bode a log by mal povedať, ktoré to bolo. Spusťte sadu najprv na testovacom účte, potom ju zopakujte pre skutočného používateľa. Odmietnutie, ktoré sa bez dôvodu objaví v protokole udalostí, stojí za opravu dávno predtým, než ten záznam budete potrebovať.

Potom potvrďte, ktoré porty sú publikované a prečo. PPTP potrebuje TCP 1723 a GRE ako IP protokol, nie port, IKEv2 potrebuje UDP 500 a 4500 a L2TP potrebuje UDP 1701 plus IPsec. Vystavenie rozhrania na správu, aby sa klient pripojil, nie je oprava, je to druhý incident čakajúci na objavenie.

Nakoniec rozhodnite, čo server zaznamenáva a na ako dlho. Koncový bod bez histórie overovania nedokáže po incidente odpovedať na prvú otázku, či bol pokus vôbec autorizovaný.