Napačen poskus VPN: kateri razred poverilnic je prestopil mejo?
Neuspešen poskus morda ni poslal ničesar ali pa je izročil geslo tistemu, ki je odgovoril. Razvrstite artefakt, preden se odločite, kaj preklicati.
Povezali ste se z napačnim VPN in odjemalec je poročal o napaki. Ali je bilo to pomembno, je odvisno od tega, kaj je pred napako šlo po liniji, in beseda sama vam tega ne pove. Nekatera rokovanja sploh ne nosijo skrivnosti, druga pa izročijo geslo vsakomur, ki je odgovoril na naslov. Preden kar koli prekličete, ugotovite, kateri od obeh primerov se je zgodil.
Ustavite se in shranite dokaze
Shranite dnevnik odjemalca, izbrani profil, vneseni naslov in približen čas. Zapišite jih nekam zunaj odjemalca, ker urejanje profila ali ponovna namestitev uniči zapis, ki ga boste potrebovali. Zaustavite vsak nadaljnji poskus, dokler končna točka ni potrjena po poti, ki jo nadzorujete.
Nikoli ne objavite neurejenega profila ali dnevnika na javnem forumu, medtem ko sprašujete, ali je bil poskus varen. Ti dokumenti pogosto vsebujejo pot do zasebnega ključa, interno ime gostitelja ali žeton, zato najprej preuredite in nato delite s skrbnikom, ki ima v lasti končno točko.
Kaj lahko prestopi mejo
Večina zmede izvira iz tega, da vsako napako obravnavamo kot eno vrsto dogodka. Na drugo stran lahko pridejo štiri različne stvari: javno potrdilo, podpis, ki dokazuje uporabo ključa, geslo ali enkratna koda in datoteka, ki ste jo izbrali sami. Vsaka ima svojo posledico in svoje popravilo. Razvrščanje artefakta je korak, ki odloči o vsem pozneje.
Primer s potrdilom je najmilejši, ker je tisto, kar potuje, po zasnovi javno in so njegova identifikacijska polja že vidna vsakomur, ki se poveže. Podpis nad izzivom pove, da je bil ključ uporabljen, ne da je bil poslan. Geslo je nasproten primer: kdor ga prejme, ga lahko preizkusi drugje, storitev, zgrajena za preverjanje gesel, pa je predvideni prejemnik prav te vrednosti.
Dokazilo o ključu ni nalaganje ključa
Sodobni TLS namerno ločuje ti dve ideji. RFC 8446 opisuje sporočilo CertificateVerify, v katerem odjemalec podpiše izziv z zasebnim ključem, ki ustreza njegovemu potrdilu. Podpis dokazuje posedovanje brez prenašanja ključa, zato poskus, overjen s potrdilom, ni samodejno kompromitacija ključa.
Ta pomiritev ima mejo, ki jo velja navesti. Dokazilo kaže, da je ključ sodeloval v tej izmenjavi, in ne pove ničesar o tem, kaj je morda že prebral lokalni program v napravi. Prav tako ne pove, kako daleč je neznan poskus v resnici prišel, zato je dnevnik še vedno pomembnejši od teorije.
Gesla sledijo povsem drugemu modelu zaupanja. Koncentrator, nastavljen z zunanjim preverjevalcem, lahko posreduje predloženo vrednost, zato je njeno prejemanje predvidena funkcija, napačen cilj pa resnična izpostavljenost in ne teoretična.
Rekonstruirajte poskus iz dnevnika
Štiri dejstva rekonstruirajo poskus: naslov, s katerim je bil dejansko vzpostavljen stik, ali je bila identiteta strežnika preverjena, katera metoda preverjanja pristnosti je bila izbrana in kje se je proces ustavil. Vsako se pojavi v dnevniku odjemalca in vsako izključi drugo zgodbo. Napaka glede poti ali dodeljenega naslova ne pove ničesar o tem, kar je bilo že na liniji, ker se je preverjanje pristnosti morda končalo, preden je nastavitev tunela spodletela.
Ta dejstva izluščite iz odjemalčevega lastnega dnevnika, ne iz spomina. Ozek filter ohrani izpis dovolj kratek za urejanje in deljenje:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Nobenega od teh ne nadomestite z imenom gostitelja. Znano ime, trenutni odgovor DNS in opozorilo o potrdilu, ki ga prikaže programska oprema, opisujejo sedanjost in ne prejšnje povezave. Tudi poziv k geslu ni dokaz, da je bilo kaj poslano, saj je odjemalec morda spodletel, preden ga je predložil.
Odločite in nato ukrepajte
Odločitev izhaja iz artefakta, ne iz tega, kako alarmantno je bila videti napaka. Preberite štiri vrstice glede na dejstva, ki ste jih rekonstruirali:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Če je geslo doseglo neželeno storitev, ga spremenite po kanalu za upravljanje računa in preverite, kje drugje je bilo uporabljeno znova. Potekla enkratna koda zapre to pot, seje, ustvarjene z njo, pa ne, zato prosite skrbnika identitet, da pregleda seje. Če je bila ključna datoteka res naložena, sledite postopku preklica organizacije izdajateljice, namesto da čakate na dokaz o zlorabi.
Nato zapišite omejeni rezultat: kaj je bilo poslano, kaj ostaja neznano in katere poverilnice zahtevajo ukrepanje. Prav ta zapis bo zahteval poznejši pregled in je uporabnejši od katerega koli od obeh priročnih sklepov.