Jaribio lisilo sahihi la VPN: ni darasa gani la vitambulisho lililovuka mpaka?
Jaribio lililoshindwa linaweza kuwa halikutuma kitu chochote, au lilimkabidhi neno la siri yeyote aliyojibu. Panga kifaa kabla ya kuamua nini cha kubatilisha.
Umeunganishwa na VPN isiyo sahihi, na mteja aliripoti hitilafu. Ikiwa hilo lilikuwa na umuhimu inategemea kile kilichopita kwenye waya kabla ya hitilafu, na neno lenyewe halikwambii hilo. Baadhi ya mikono haibebi siri yoyote, wakati mingine inakabidhi neno la siri kwa yeyote aliyojibu anwani. Tambua ni ipi kati ya hali hizo mbili ilitokea kabla ya kubatilisha kitu chochote.
Simama na uhifadhi ushahidi
Hifadhi kumbukumbu ya mteja, wasifu uliochaguliwa, anwani uliyoandika na takriban muda. Ziandike mahali nje ya mteja, kwa sababu kuhariri wasifu au kusakinisha upya huharibu kumbukumbu utakayohitaji. Zuia kila jaribio lingine hadi kituo cha mwisho kithibitishwe kwa njia unayodhibiti.
Kamwe usichapishe wasifu au kumbukumbu isiyosafishwa kwenye jukwaa la umma wakati unauliza kama jaribio lilikuwa salama. Nyaraka hizo mara nyingi zina njia ya ufunguo wa faragha, jina la mwenyeji wa ndani au tokeni, kwa hivyo safisha kwanza kisha shiriki na msimamizi anayemiliki kituo cha mwisho.
Kile kinachoweza kuvuka mpaka
Fadhaa nyingi hutokana na kuchukua kila hitilafu kama aina moja ya tukio. Vitu vinne tofauti vinaweza kufikia upande mwingine: cheti cha umma, sahihi inayothibitisha kwamba ufunguo ulitumika, neno la siri au msimbo wa mara moja, na faili uliyochagua mwenyewe. Kila kimoja kina matokeo yake na ukarabati wake. Kupanga kifaa ndilo hatua inayoaamua kila kitu baada yake.
Kesi ya cheti ndiyo nyepesi, kwa sababu kitu kinachosafiri ni cha umma kwa muundo na sehemu zake za utambulisho tayari zinaonekana kwa yeyote anayeunganisha. Sahihi juu ya changamoto inasema ufunguo ulitumika, si kwamba ulitumwa. Neno la siri ni kesi kinyume: yeyote anayeipokea anaweza kuijaribu mahali pengine, na huduma iliyojengwa kuthibitisha maneno ya siri ndiye mpokeaji aliyekusudiwa wa thamani hiyo.
Uthibitisho wa ufunguo si upakiaji wa ufunguo
TLS ya kisasa hutenganisha mawazo hayo mawili kwa makusudi. RFC 8446 inaeleza ujumbe wa CertificateVerify, ambapo mteja hutiya sahihi changamoto kwa ufunguo wa faragha unaolingana na cheti chake. Sahihi inaonyesha umiliki bila kubeba ufunguo, ndiyo sababu jaribio lililothibitishwa kwa cheti si kwa otomatiki uvunjaji wa ufunguo.
Uhakika huo una mpaka unaostahili kutajwa. Uthibitisho unaonyesha ufunguo ulishiriki katika kubadilishana huko, na hausemi kitu kuhusu kile ambacho programu ya ndani kwenye mashine inaweza kuwa imeshasoma. Pia hausemi jaribio lisilojulikana lilifikaje kwa kweli, ndiyo sababu kumbukumbu bado ni muhimu zaidi kuliko nadharia.
Maneno ya siri yanafuata mfumo tofauti kabisa wa uaminifu. Kituo kilichosanidiwa na kithibitishaji cha nje kinaweza kupitisha thamani iliyowasilishwa, kwa hivyo kuipokea ni kazi iliyokusudiwa na mahali pasipofaa ni ufichuzi halisi na si wa kinadharia.
Jenga upya jaribio kutoka kwa kumbukumbu
Mambo manne hujenga upya jaribio: anwani iliyowasiliana nayo kwa kweli, ikiwa utambulisho wa seva ulithibitishwa, mbinu gani ya uthibitishaji ilichaguliwa, na mchakato ulisimama wapi. Kila kimoja huonekana kwenye kumbukumbu ya mteja, na kila kimoja huondoa simulizi tofauti. Hitilafu kuhusu njia au anwani iliyotengwa haisemi kitu kuhusu kilichokuwa tayari kwenye waya, kwa sababu uthibitishaji unaweza kuwa umekamilika kabla ya usanidi wa handaki kushindwa.
Toa mambo hayo kutoka kwa kumbukumbu ya mteja mwenyewe badala ya kumbukumbu ya akili. Kichujio chembamba huweka matokeo mafupi vya kutosha kusafishwa na kushirikiwa:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Usibadilishe jina la mwenyeji kwa yoyote ya haya. Jina linalojulikana, jibu la sasa la DNS na onyo la cheti linaloonyeshwa na programu hufafanua sasa na si muunganisho wa awali. Ombi la neno la siri pia si ushahidi kwamba kitu kilitumwa, kwa sababu mteja anaweza kuwa alishindwa kabla ya kuliwasilisha.
Amua, kisha chukua hatua
Uamuzi unafuata kifaa, si jinsi hitilafu ilivyoonekana ya kutisha. Soma mistari minne dhidi ya mambo uliyojenga upya:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Ikiwa neno la siri lilifika kwa huduma isiyokusudiwa, libadilishe kupitia njia ya usimamizi wa akaunti na uangalie mahali pengine lilipotumika tena. Msimbo wa mara moja ulioisha muda hufunga njia hiyo, lakini kipindi kilichoundwa nao hakifungi, kwa hivyo mwombe msimamizi wa utambulisho kukagua vipindi. Ikiwa faili ya ufunguo ilipakiwa kwa kweli, fuata mchakato wa kubatilisha wa shirika lililotoa badala ya kusubiri ushahidi wa matumizi mabaya.
Kisha andika matokeo yenye mipaka: kile kilichotumwa, kile kinachobaki hakijulikani, na ni kitambulisho gani kinahitaji hatua. Kumbukumbu hiyo ndiyo itakayoulizwa na ukaguzi wa baadaye, na inafaa zaidi kuliko mojawapo ya hitimisho mbili za starehe.