Tentativë e gabuar VPN: cila klasë kredenciale e kaloi kufirin?
Një tentativë e dështuar mund të mos ketë dërguar asgjë, ose t'i ketë dorëzuar një fjalëkalim atij që u përgjigj. Klasifikoni artefaktin përpara se të vendosni çfarë të revokoni.
U lidhët me VPN-në e gabuar dhe klienti raportoi një dështim. Nëse kjo kishte rëndësi varet nga ajo që kaloi përmes linjës përpara dështimit, dhe vetë fjala nuk ju thotë këtë. Disa shtrëngime duarsh nuk mbajnë fare sekret, ndërsa të tjerat i dorëzojnë një fjalëkalim kujtdo që u përgjigj në adresë. Përcaktoni cila nga dy situatat ndodhi përpara se të revokoni çdo gjë.
Ndaloni dhe ruani provat
Ruani regjistrin e klientit, profilin e zgjedhur, adresën që shtypët dhe kohën e përafërt. Shkruajini diku jashtë klientit, sepse redaktimi i një profili ose riinstalimi shkatërron regjistrin që do t'ju duhet. Ndaloni çdo tentativë tjetër derisa pika fundore të konfirmohet përmes një rruge që ju kontrolloni.
Kurrë mos postoni një profil ose regjistër të paqartësuar në një forum publik ndërsa pyesni nëse tentativa ishte e sigurt. Këto dokumente shpesh përmbajnë një rrugë çelësi privat, një emër hosti të brendshëm ose një token, prandaj qartësoni fillimisht dhe ndajeni me administratorin që zotëron pikën fundore.
Çfarë mund të kalojë kufirin
Pjesa më e madhe e konfuzionit vjen nga trajtimi i çdo dështimi si një lloj i vetëm ngjarjeje. Katër gjëra të ndryshme mund të arrijnë në anën tjetër: një certifikatë publike, një nënshkrim që provon se një çelës u përdor, një fjalëkalim ose kod njëpërdorimësh, dhe një skedar që e zgjodhët vetë. Secila ka pasojën dhe riparimin e vet. Klasifikimi i artefaktit është hapi që vendos gjithçka më pas.
Rasti i certifikatës është më i lehtë, sepse ajo që udhëton është publike nga ndërtimi dhe fushat e saj identifikuese janë tashmë të dukshme për këdo që lidhet. Një nënshkrim mbi një sfidë thotë se çelësi u përdor, jo se u dërgua. Fjalëkalimi është rasti i kundërt: kushdo që e merr mund ta provojë diku tjetër, dhe një shërbim i ndërtuar për të verifikuar fjalëkalime është marrësi i synuar i pikërisht atij vlerë.
Një provë çelësi nuk është një ngarkim çelësi
TLS modern i mban këto dy ide të ndara me qëllim. RFC 8446 përshkruan mesazhin CertificateVerify, ku klienti nënshkruan një sfidë me çelësin privat që përputhet me certifikatën e tij. Nënshkrimi demonstron zotërim pa e mbajtur çelësin, prandaj një tentativë e autentikuar me certifikatë nuk është automatikisht një çelës i komprometuar.
Ky qetësim ka një kufi që ia vlen të thuhet. Prova tregon se çelësi mori pjesë në atë shkëmbim dhe nuk thotë asgjë për atë që një program lokal në makinë mund të ketë lexuar tashmë. Nuk thotë as sa larg ka shkuar në të vërtetë një tentativë e panjohur, prandaj regjistri vazhdon të vlejë më shumë se teoria.
Fjalëkalimet ndjekin një model krejt tjetër besimi. Një koncentrator i konfiguruar me një verifikues të jashtëm mund ta përcjellë vlerën e dorëzuar, kështu që marrja e saj është funksioni i synuar dhe një destinacion i gabuar është ekspozim i vërtetë, jo teorik.
Rindërtoni tentativën nga regjistri
Katër fakte rindërtojnë tentativën: adresa me të cilën u kontaktua vërtet, nëse identiteti i serverit u validua, cila metodë autentikimi u zgjodh dhe ku u ndal procesi. Secili shfaqet në një regjistër klienti dhe secili përjashton një histori tjetër. Një gabim për rrugët ose një adresë të caktuar nuk thotë asgjë për atë që ishte tashmë në linjë, sepse autentikimi mund të ketë përfunduar përpara se të dështonte konfigurimi i tunelit.
Nxirrni ato fakte nga regjistri i vetë klientit dhe jo nga kujtesa. Një filtër i ngushtë e mban daljen mjaft të shkurtër për t'u qartësuar dhe ndarë:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Mos zëvendësoni emrin e hostit me asnjë prej këtyre. Një emër i njohur, një përgjigje aktuale DNS dhe një paralajmërim certifikate që shfaq softueri përshkruajnë të tashmen dhe jo lidhjen e mëparshme. As një kërkesë për fjalëkalim nuk është provë se diçka u dërgua, pasi klienti mund të ketë dështuar përpara se ta dorëzonte.
Vendosni, pastaj veproni
Vendimi rrjedh nga artefakti, jo nga sa alarmante dukej dështimi. Lexoni katër rreshtat kundrejt fakteve që rindërtuat:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Nëse një fjalëkalim arriti në një shërbim të padëshiruar, ndryshojeni përmes kanalit të menaxhimit të llogarisë dhe kontrolloni ku tjetër u ripërdor. Një kod njëpërdorimësh i skaduar e mbyll atë rrugë, por një sesion i krijuar me të jo, prandaj kërkoni nga administratori i identitetit të shqyrtojë sesionet. Nëse një skedar çelësi u ngarkua vërtet, ndiqni procesin e revokimit të organizatës lëshuese në vend që të prisni prova të abuzimit.
Më pas shkruani rezultatin e kufizuar: çfarë u dërgua, çfarë mbetet e panjohur dhe cila kredenciale kërkon veprim. Ai është regjistri që do të kërkojë një rishikim i mëvonshëm, dhe është më i dobishëm se secili prej dy përfundimeve të rehatshme.