Kuimarisha VPN ya Windows: rekebisha uthibitishaji kabla ya handaki

Seva yako ya VPN ya Windows inaomba jina la mtumiaji na nenosiri, na mazungumzo hayo moja yanaficha majukumu matatu yasiyohusiana. Moja linathibitisha mtu ni nani, moja linazuia mtu anayefuatilia waya kutumia tena uthibitisho huo, na moja linaamua anwani zipi anaweza kufikia baadaye. Usanidi mdogo mwingi huimarisha handaki kwanza na kuacha majukumu mawili ya kwanza kwenye thamani zake chaguo-msingi, na huo ni mpangilio mbaya.

Fanya kazi kwa mpangilio ambao mshambuliaji anafanya kazi. Kwanza kile kinachoweza kunaswa kutoka kwenye waya. Kisha kile kinachoweza kuchezwa tena baadaye na rekodi hiyo. Mwisho, kile ambacho mshambuliaji aliyethibitishwa anaweza kufikia akiwa ndani.

Majukumu matatu, mazungumzo moja

Utambulisho ni sehemu ambayo watu huifikiria, na ni theluthi moja tu ya tatizo. Uthibitisho wa utambulisho lazima uvumilie mwangalizi anayerekodi mabadilishano na kujaribu tena baadaye. Idhini ni uamuzi tofauti ambao seva hufanya baada ya utambulisho kubainika, na Windows huihifadhi katika huduma tofauti na ile inayothibitisha stakabadhi.

Wakati wote watatu wanaishi katika ndoo moja ya akili, matokeo ya kawaida ni seva inayothibitisha kwa nguvu kisha kumruhusu mtumiaji kufikia kila kitu. Kurekebisha hilo baadaye ni vigumu zaidi kuliko kuamua sera sasa, kwa sababu wakati huo wasifu wa ukuta wa moto, bwawa la anwani na njia zote zinarekodi dhana ya zamani.

Tenganisha watatu katika maelezo yako kabla ya kugusa mpangilio wowote, kisha warekebishe kutoka kiungo dhaifu zaidi kwenda juu.

Kwa nini MS-CHAPv2 hawezi kustahimili jaribio la kucheza tena

Ikiwa seva bado inakubali PPTP na MS-CHAPv2, handaki hailindi nenosiri kwa maana yoyote yenye maana. Changamoto na jibu zinaweza kunaswa na kushambuliwa nje ya mtandao, na mwaka 2012 huduma ya umma ya kuvunja ilionyesha urejeshaji kutoka kwa kupeana mikono kama hiyo kwa takriban siku moja kwa nenosiri la kawaida. Nenosiri refu na gumu huongeza gharama; haliondoi nyenzo ambazo mshambuliaji anahitaji kutoka kwenye mtandao.

Sifa unayotaka ni stakabadhi isiyoweza kuchezwa tena. EAP-TLS pamoja na vyeti vya mteja humpa kila kifaa utambulisho wake mwenyewe na hukuruhusu kubatilisha kifaa kimoja hasa.

Kusambaza vyeti ni kazi halisi: CA ya kibinafsi, njia ya ubatilishaji ambayo wateja hukagua, na mpango wa kuhuisha unaovumilia mabadiliko ya wafanyakazi. Chukulia kazi hiyo kama mradi na si kama kikwazo kati yako na handaki inayofanya kazi. Panga bajeti yake kama ungepanga bajeti ya kubadilisha ukuta wa moto. Nenosiri linaloshirikiwa ni la bei nafuu tu hadi ubatilishaji wa kwanza.

Ufunguo ulioshirikiwa mapema huthibitisha jozi, si mtu

L2TP/IPsec na ufunguo ulioshirikiwa mapema huthibitisha kwamba lango mbili zinajua siri moja. Haisemi chochote kuhusu mtu yupi anayeunganisha, na haiwezi kutofautisha mfanyakazi mmoja na mwingine katika tabaka hilo. Tumia thamani ndefu ya bahati nasibu, mbali zaidi ya herufi kumi ambazo baadhi ya miongozo hupendekeza, kwa sababu yeyote anayenaswa kupeana mikono anaweza kushambulia ufunguo nje ya mtandao.

Kila mteja kwenye wasifu huo hushiriki siri, kwa hivyo kumwondoa mtu mmoja kunamaanisha kuisambaza tena kwa wote wanaobaki. Weka hatua tofauti ya uthibitishaji wa mtumiaji juu ya siri ya ngazi ya mashine, na uhamie kwenye vyeti kadiri idadi ya wateja inavyoongezeka. Ufunguo ulioshirikiwa mapema pamoja na MS-CHAPv2 ni tabaka mbili dhaifu, na la pili hubatilisha la kwanza.

Idhini iko katika Network Policy Server

NPS kwenye Windows huamua nani anaweza kuunganisha, na hufanya hivyo baada ya uthibitishaji kufanikiwa tayari. Utengano huo ni udhibiti wa uimarishaji wenye manufaa zaidi katika bidhaa, na usanidi mwingi huiacha bila kuguswa.

Tumia masharti ya sera yanayoakisi vikwazo halisi: uanachama wa kikundi, dirisha la muda ambapo msaada una wafanyakazi, na hali ya kifaa kutoka kwa ukaguzi wa afya. Ongeza kipengele cha pili pale ambapo data inahalalisha msuguano, na kumbuka kwamba sera hutathminiwa kwa kila jaribio la muunganisho, jambo linaloifanya kuwa udhibiti hai na si hati.

Uhasibu wa RADIUS pia hukupa rekodi moja ya nani aliunganisha na lini. Logi hiyo ni tofauti kati ya mapitio ya tukio na dhana, na ipo iwe mtu anaifuata au la.

Punguza kile ambacho kuingia kwa mafanikio kunaweza kufikia

Adapta ya VPN inapaswa kutua katika wasifu wa ukuta wa moto unaoruhusu huduma zinazohitajika na jukumu lake badala ya subnet nzima. Swali la uelekezaji ni tofauti na uchujaji. Handaki kamili hulinda kifaa cha mteja na kusukuma kila baiti kupitia kiungo chako cha juu, wakati handaki iliyogawanywa huweka trafiki ya ndani kuwa ya ndani na kuweka kifaa wazi kwa mtandao wowote ambao kinapatikana.

Hakuna chaguo lolote kati ya haya mawili ambalo ni chaguo-msingi la usalama. Yote mawili yanapaswa kuandikwa kando ya wasifu wa ukuta wa moto unaodhaniwa.

Thibitisha njia za kushindwa

Jaribu kile kinachopaswa kuvunjika: nenosiri lisilo sahihi, cheti kilichoisha muda, kifaa kilichobatilishwa, mtumiaji nje ya kikundi. Kila kimoja kinapaswa kushindwa mahali tofauti, na logi inapaswa kusema kilikuwa kipi. Endesha seti kwenye akaunti ya majaribio kwanza, kisha uirudie kwa mtumiaji halisi. Kukataliwa kunakofika kwenye logi ya matukio bila sababu kunastahili kurekebishwa muda mrefu kabla ya kuhitaji rekodi hiyo.

Kisha thibitisha ni bandari zipi zilizochapishwa na kwa nini. PPTP inahitaji TCP 1723 na GRE kama itifaki ya IP badala ya bandari, IKEv2 inahitaji UDP 500 na 4500, na L2TP inahitaji UDP 1701 pamoja na IPsec. Kufichua kiolesura cha usimamizi ili mteja aunganishe si ukarabati, ni tukio la pili linalosubiri kugunduliwa.

Mwisho, amua seva inarekodi nini na kwa muda gani. Kituo cha mwisho bila historia ya uthibitishaji hakiwezi kujibu swali la kwanza baada ya tukio, yaani kama jaribio liliwahi kuidhinishwa.