Kuondoa PPTP/MS-CHAPv2: mwongozo wa VPN ya zamani

Maneno ya siri ya herufi ishirini, yanayobadilishwa kila mwezi na kuwekwa kwenye chumba cha hazina, hayafanyi seva ya PPTP inayoendesha MS-CHAPv2 kuwa VPN ya kisasa. Neno la siri ni ingizo la ubadilishanaji ambao udhaifu wake upo ndani ya ubadilishanaji wenyewe. Mwongozo huu ni kwa yule aliyerithi seva hiyo na anapaswa kuwaondoa watumiaji bila kukata tovuti inayotegemea. Fanya hatua kwa mpangilio, kwa sababu kila moja huacha rekodi ambayo utaihitaji mtu anapouliza kwa nini ufikiaji ulibadilika ghafla.

Andika mrundikano kabla ya kugusa kitu chochote

Tabaka tatu zinaunganishwa katika neno PPTP, na kila moja hushindwa kwa namna yake. Handaki ni PPTP yenyewe, GRE pamoja na TCP 1723. Uthibitishaji ni ile njia ya PPP ambayo seva hutoa, hapa MS-CHAPv2. Ulinzi wa kiungo ni MPPE, ambao funguo zake hutolewa kutoka kwa ubadilishanaji huo wa uthibitishaji. Kutaja zote tatu huzuia marekebisho ya baadaye yasiangukie tabaka lisilofaa.

Soma usanidi ulio hai badala ya kuamini ukurasa wa wiki, na andika faili, msikilizaji na vikao vya mwisho vilivyothibitishwa.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Katika jukumu la ufikiaji wa mbali la Windows orodha hiyo hiyo hutoka kwa amri mbili, na ya pili ni muhimu kwa sababu jukumu linaweza kutangaza njia kadhaa kwa wakati mmoja wakati wateja wa uwandani hujadili tu ile dhaifu zaidi.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Amua handaki hubeba nini kwa kweli leo

Orodhesha watumiaji kabla ya kuchagua mbadala: kompyuta za mkononi zinazosafiri, kipanga njia cha tawi, kituo cha malipo, na seti ya kompyuta za mkononi za uwandani. Mtumiaji anayehitaji tu kufikia mwenyeji mmoja wa ndani ni rahisi kuhamishwa. Mtumiaji aliyejengwa ndani ya vifaa ambavyo huwezi kuflash upya anaweza kuhitaji lango la kati badala ya uboreshaji wa mteja, na uamuzi huo ni wa mpango, si wa katikati ya mpito.

Kisha uliza mvamizi anayeweza kuchunguza au kuathiri ubadilishanaji wa kuingia atapata nini. Kwa MS-CHAPv2 jibu linajumuisha nyenzo zinazoruhusu urejeshaji wa neno la siri la mtumiaji nje ya mtandao, na ndiyo sababu urefu na mzunguko havitengenezi muundo: siri iliyorejeshwa ni halali kwenye kila mfumo ambapo mtumiaji aliitumia tena.

MPPE hurithi udhaifu huo huo, kwa kuwa funguo zake hutoka kwenye ubadilishanaji huo, na haikupi uadilifu wa kila pakiti wala tabia ya kurudia ya sifuri ya AEAD ya kisasa. Kikao kinachothibitishwa kwa usafi kimeonyesha tu upatanifu na ukaguzi uliosanidiwa na hakuna zaidi.

Mapumziko mafupi ya chakula cha mchana au idadi ndogo ya watumiaji haibadilishi sifa ya kriptografia kuwa sifa ya sera.

Fanya uhamishaji ndani ya dirisha moja la matengenezo

Simamisha mbadala, uthibitishe kwa kundi moja la majaribio, kisha simamisha msikilizaji wa zamani badala ya kuuacha kama hifadhi ya kimya. Hifadhi ambayo kila mtu bado anaweza kuifikia si uhamishaji, na inaweka ubadilishanaji dhaifu wazi kwa watumiaji ambao hawajishughulishi kamwe kubadilika.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Funga njia ya ukuta wa moto katika dirisha hilo hilo. GRE haina bandari ya kukumbukwa, kwa hivyo kanuni inayoruhusu itifaki 47 kwa nambari huachwa kirahisi na huacha huduma ikifikika hata baada ya daemon kuondoka. Andika kanuni uliyoiondoa, nafasi yake ya awali na sababu, ili ukaguzi wa mabadiliko wa baadaye usiirejeshe kwa bahati mbaya.

Shughulikia vitambulisho kando na usanidi. Kuondoa wasifu wa mteja si kufuta, na akaunti ambayo bado inathibitishwa mahali pengine haijastaafishwa.

Thibitisha kwamba mbadala hufanya kazi ambazo PPTP ilifanya

Orodha ya ukaguzi si “inaunganisha”. Ni kama uthibitishaji, ugawaji wa anwani, utatuzi wa DNS, uchaguzi wa njia, tabia ya kuunganisha upya na uthibitishaji wa rika vyote bado vinashikilia chini ya mbadala. Jaribu kila kimoja kwenye kifaa cha majaribio, kwa mpangilio huo, na andika matokeo yaliyozingatiwa karibu na matarajio.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Anwani kwenye kiolesura inathibitisha kwamba majadiliano yalikamilika. Haithibitishi kwamba upande wa mbali uliidhinisha njia unayotarajia, na swali la juu hujibu kwa mwenyeji huyu tu, si kwa LAN iliyopelekwa. Jibu la kitatuzi linathibitisha ufikikaji wa kitatuzi, si kwamba sera ya DNS iliyogawanywa hutuma majina sahihi huko.

Jaribu kuunganisha upya mwisho, kwa sababu hapo ndipo mbadala nyingi hurudi nyuma: laza kompyuta ya mkononi, badilisha mitandao, na uthibitishe kwamba handaki hujengwa upya bila kuacha njia za kizamani.

Kurudi nyuma, kufuta na rekodi unayoiacha

Kurudi nyuma hurejesha huduma; hakurejeshi usalama, na tofauti hiyo inapaswa kusemwa kwa sauti kabla ya dirisha kufunguliwa. Iwapo njia mpya itashindwa, warudishe watumiaji kupitia ncha nyingine ya kisasa au lango la muda, si kwa kuwasha PPTP tena kwa kila mtu. Kuweka njia moja ya dharura kwenye itifaki ya zamani huongeza mfiduo uliouandika hivi punde.

Baada ya mpito, futa akaunti zilizothibitishwa kupitia PPTP, acha wasifu zao zilizohifadhiwa ziishe, na uthibitishe kwamba kanuni ya GRE imeondoka kwenye kila kifaa cha pembeni, ikiwa ni pamoja na nakala ya urejeshaji wa maafa ambayo hakuna anayeikumbuka.

Acha rekodi fupi: itifaki ulizozipata, tarehe kila msikilizaji alisimama, matoleo ya mteja ambayo mbadala huunga mkono, na mmiliki anayeweza kufungua uamuzi tena. Usafi wa neno la siri bado ni muhimu baadaye, lakini kama usafi kwenye itifaki inayostahili, si kama hoja ya kuweka ile ya zamani hai.