Fail2ban kwenye lango la VPN: inarekebisha nini na nini hairekebishi

Kila huduma iliyo wazi hupata ushauri uleule: weka fail2ban juu yake. Kwa lango la VPN ushauri huo si mbaya na hautoshi, na kuuchukulia kama alama ya uimarishaji ndiyo sababu watu huishia na jela (jail) isiyozuia kitu chochote cha manufaa. Fail2ban husoma rekodi za kushindwa unazoelekeza na kuomba backend ya utekelezaji kuzuia vyanzo vinavyolingana. Thamani yake yote inategemea ni uso gani wa uthibitishaji uliotengeneza rekodi, kama anwani iliyo ndani ni mteja halisi, na nini kinatokea kwa wengine wote nyuma ya anwani hiyo.

Fail2ban ni nini kiufundi

Kichujio hulinganisha mistari kwenye kumbukumbu, jela huhesabu ulinganifu kwa kila chanzo, na kitendo hutumia marufuku kupitia backend ya ngome ya moto. Sehemu tatu zinazosonga, na kila moja inaweza kuwa mbaya kwa kujitegemea.

Hakuna moja kati ya hizo tatu inayogusa njia ya uthibitishaji: fail2ban huitikia ushahidi baada ya tukio na kamwe haithibitishi kitambulisho yenyewe. Kwa hiyo jela inaweza kufanya kazi safi wakati uso unaoutaja unaendelea kuwa wazi kama awali.

Msikilizaji wa handaki si fomu ya kuingia

Msikilizaji OpenVPN aliyelindwa kwa tls-auth au tls-crypt hutupa pakiti zisizo na ulinzi wa kituo cha udhibiti kabla usindikaji wa kawaida wa TLS haujaanza. Skana isiyo na ufunguo kamwe haitoi kitu chochote ambacho kichujio chako kinaweza kuhesabu. Uthibitishaji wa cheti huongeza lango lingine, kwa sababu hakuna neno la siri la kukisia. Mradi wa Fail2ban huandika mfano wa jumla unaoendeshwa na kumbukumbu, na kichujio cha jumla cha VPN hakibadilishi pakiti isiyothibitishwa kuwa tukio la kushindwa lenye maana.

Ikiwa lango linakubali vyeti pekee, hadithi ya brute-force unayojilinda nayo inaweza kuwa haipo kabisa kwenye mlango huo.

Kwa hiyo unalinda uso upi?

Mwenyeji huyo huyo mara nyingi huweka wazi vitu vitatu tofauti: msikilizaji wa handaki, lango la wasifu wa mteja au huduma binafsi, na ukurasa wa utawala. Lango na ukurasa wa utawala vina fomu za neno la siri na hutoa mistari ya kumbukumbu ambayo kichujio kinaweza kuhesabu. Handaki linaweza kutoa tu makosa ya kupeana mkono yenye maana tofauti kabisa. Linganisha jela na uso, si na jina la bidhaa.

Jela moja inayotazama kumbukumbu isiyo sahihi ni mbaya kuliko kutokuwa na jela, kwa sababu inaunda ujasiri bila ufunikaji. Elekeza kichujio cha kuingia kwenye makosa ya kupeana mkono ya handaki na kihesabu kitapiga kwa skana ambazo hazikuwa na ufunguo kamwe, wakati shambulio la neno la siri dhidi ya lango halitahesabiwa. Soma mstari wa kumbukumbu ambao kichujio hulinganisha kabla ya kuamini nambari ya jela.

Uhusishaji wa chanzo ni kiungo dhaifu

Marufuku ni bora kadiri anwani inayolengwa ilivyo bora. Huduma inapokaa nyuma ya proksi ya kinyume ya ndani, anwani ya mteja kwenye kumbukumbu inaweza kuwa proksi, na kuizuia huondoa kila mtu. Kuamini kichwa kilichopitishwa kutoka chanzo kisichotegemewa humpa mshambuliaji uwezo wa kuzuia anwani za kiholela. Kwenye UDP anwani za chanzo zinaweza kughushiwa, kwa hiyo kuzihesabu kunahitaji uangalifu zaidi kuliko kuhesabu kuingia kwa TCP kumalizika.

Andika mbinu ya uhusishaji wa chanzo kwenye README ya jela, kwa sababu kichwa kilichopitishwa kutoka hop isiyotegemewa hubadilisha marufuku kuwa silaha.

Gharama ya kando ni watu wengine

Wafanyakazi kadhaa nyuma ya NAT moja ya ofisi hushiriki anwani, kwa hiyo neno la siri moja lililohifadhiwa na lililopitwa na wakati linaweza kufunga ofisi yote mara kizingiti kinapovukwa. Kumbukumbu inaonyesha chanzo kimoja na akaunti moja zilizoshindwa, si hitilafu ya ofisi yote.

Marufuku mafupi na vizingiti vya wastani hupunguza hilo, na njia iliyoandikwa ya kuondoa marufuku hupunguza mzigo wa msaada linapotokea hata hivyo. Anwani ni ishara mbovu, si utambulisho, na mtu anayefungua tikiti ataelezea hitilafu, si kizingiti.

Lini kuipitisha, na lini kurekebisha kitu kingine

Ipitishe wakati kuna kushindwa kwa kuingia mtandaoni kwa kweli, kunakoweza kuhusishwa na kurudia, kwenye uso unaoudhibiti, na wakati backend ya utekelezaji inashughulikia uso huo kwa kweli. Rekebisha kitu kingine wakati tatizo ni sera dhaifu ya vitambulisho, ukurasa wa usimamizi ulio wazi kwa mtandao, au akaunti inayofanikiwa kuingia kwa sababu imeathiriwa. Marufuku hayawezi kurekebisha lolote la hayo na hayawezi kunyonya trafiki ambayo tayari imejaa uplink yako. Tatizo hilo la mwisho ni la juu zaidi, la mtu anayeweza kuchuja kabla pakiti hazijakufikia.

Weka kila jela imefungwa na uso mmoja, pitia chanya za uongo, na pima kazi ya uthibitishaji iliyoepukwa badala ya idadi ya anwani zilizozuiwa.