Погрешан VPN покушај: која класа акредитива је прешла границу?
Неуспешан покушај можда није послао ништа или је предао лозинку ономе ко је одговорио. Разврстајте артефакт пре него што одлучите шта да опозовете.
Повезали сте се на погрешан VPN и клијент је пријавио грешку. Да ли је то било важно зависи од тога шта је прешло жицом пре грешке, а сама реч вам то не каже. Нека руковања уопште не носе тајну, док друга предају лозинку свакоме ко је одговорио на адресу. Утврдите који се од та два случаја догодио пре него што било шта опозовете.
Зауставите се и сачувајте доказе
Сачувајте клијентски дневник, изабрани профил, адресу коју сте уписали и приближно време. Запишите их негде изван клијента, јер измена профила или поновна инсталација уништава запис који ће вам требати. Зауставите сваки даљи покушај док се одредиште не потврди путем који контролишете.
Никада не објављујте неређени профил или дневник на јавном форуму док питате да ли је покушај био сигуран. Ти документи често садрже путању приватног кључа, интерно име хоста или токен, па прво редигујте и поделите са администратором који поседује одредиште.
Шта може прећи границу
Већина забуне долази од тога да се свака грешка третира као једна врста догађаја. Четири различите ствари могу доћи на другу страну: јавни сертификат, потпис који доказује да је кључ коришћен, лозинка или једнократни код, и датотека коју сте сами одабрали. Свака има своју последицу и свој поправак. Разврставање артефакта је корак који одлучује о свему после.
Случај са сертификатом је најблажи, јер је оно што путује јавно по дизајну и његова идентификациона поља су већ видљива свакоме ко се повеже. Потпис над изазовом каже да је кључ коришћен, а не да је послат. Лозинка је обрнут случај: ко је прими може је испробати другде, а сервис направљен за проверу лозинки је намеравани прималац управо те вредности.
Доказ кључа није пренос кључа
Савремени TLS намерно раздваја те две идеје. RFC 8446 описује поруку CertificateVerify, у којој клијент потписује изазов приватним кључем који одговара његовом сертификату. Потпис доказује поседовање без преношења кључа, зато покушај са сертификатном аутентификацијом није аутоматски компромитација кључа.
То уверавање има границу коју ваља навести. Доказ показује да је кључ учествовао у тој размени и не говори ништа о томе шта је локални програм на машини можда већ прочитао. Такође не говори ништа о томе докле је непознати покушај стварно стигао, зато је дневник и даље важнији од теорије.
Лозинке следе сасвим други модел поверења. Концентратор конфигурисан са спољним верификатором може проследити предану вредност, па је њено примање намеравана функција, а погрешно одредиште стварна изложеност, а не теоријска.
Реконструишите покушај из дневника
Четири чињенице реконструишу покушај: адреса са којом је заиста успостављен контакт, да ли је идентитет сервера потврђен, који је метод аутентификације одабран и где се процес зауставио. Свака се појављује у клијентском дневнику и свака искључује другу причу. Грешка о рутама или додељеној адреси не говори ништа о томе шта је већ било на жици, јер је аутентификација могла бити завршена пре него што је постављање тунела пропало.
Извуците те чињенице из клијентовог властитог дневника, а не из сећања. Уски филтер држи излаз довољно кратким за редиговање и дељење:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Не замењујте име хоста ни за једну од ових ствари. Познато име, тренутни DNS одговор и упозорење о сертификату које софтвер приказује описују садашњост, а не ранију везу. Ни упит за лозинку није доказ да је било шта послато, јер је клијент могао пропасти пре него што ју је предао.
Одлучите, па поступите
Одлука произлази из артефакта, а не из тога колико је грешка изгледала алармантно. Прочитајте четири реда према чињеницама које сте реконструисали:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Ако је лозинка стигла до ненамераваног сервиса, промените је кроз канал за управљање рачуном и проверите где је још коришћена. Истекао једнократни код затвара тај пут, али сесија створена с њим не, зато замолите администратора идентитета да прегледа сесије. Ако је датотека кључа заиста пренета, следите процес опозива организације која га је издала, уместо да чекате доказ о злоупотреби.
Затим запишите ограничен резултат: шта је послато, шта остаје непознато и који акредитив захтева деловање. Тај запис ће тражити каснији преглед и кориснији је од било ког од два удобна закључка.