தோல்வியடைந்த VPN கைக்குலுக்கல் உண்மையில் டவுன்கிரேட் தாக்குதலா?

பிழையில் முடியும் கைக்குலுக்கல், செய்தியைப் பார்க்கும் வரை தாக்குதல் போலத் தோன்றும், பெரும்பாலும் அது கணக்கியல்: பொதுவான முன்மொழிவு இல்லை, காலாவதியான சான்றிதழ், அல்லது என்றும் வராத பொதி. டவுன்கிரேட் தாக்குதல் என்பது ஒரு குறிப்பிட்ட விஷயம்: எதிரி இரு முனைகளையும் அவர்கள் தேர்ந்தெடுத்திருக்கும் விட பலவீனமான நடத்தைக்கு தள்ளுகிறான், அது வேறு சான்றுகளை விட்டுச் செல்கிறது. ஒவ்வொரு தோல்வியையும் தீங்கு என்று கருதினால் இருக்காத ஒரு பாதிக்கப்பட்டவரைத் தேடுவீர்கள், ஆனால் உண்மையான டவுன்கிரேடை கட்டமைப்புப் பிழை என்று கருதினால் பலவீனமான முடிவு அப்படியே இருக்கும். இந்த இரு தவறுகளின் விலை வேறு, ஒன்றை மட்டுமே மலிவாகச் சரிசெய்ய முடியும்.

டவுன்கிரேட் தாக்குதல் உண்மையில் என்ன மாற்றுகிறது

நோக்கம் சைஃபரை உடைப்பது அல்ல, விசையை ஊகிப்பதும் அல்ல. நோக்கம் பேச்சுவார்த்தையைப் பாதித்து, இரு தரப்பும் தாக்குபவர் கையாளக்கூடிய பழைய பதிப்பு அல்லது பலவீனமான அல்காரிதத்தில் நிற்கச் செய்வது, அல்லது ஒரு தரப்பு மற்றது அதை மட்டுமே ஆதரிக்கிறது என்று நம்பச் செய்வது.

மாறுவது ஒப்பந்தம், அங்கீகாரம் அல்ல. தாக்குபவர் கண்டறியப்படாமல் சலுகையை மாற்ற முடிந்தால், இரு தரப்பும் இன்னும் கைக்குலுக்கலை முடித்து ஒருவரையொருவர் அங்கீகரிக்க முடியும், ஆனால் தாக்குபவர் விரும்பும் அளவுருக்களுடன். அதனால்தான் பேச்சுவார்த்தையே ஒருமைப்பாடு பாதுகாப்பில் உள்ளதா என்பது சுவாரஸ்யமான கேள்வி.

பேச்சுவார்த்தையே அங்கீகரிக்கப்பட வேண்டியது ஏன்

TLS 1.3 அந்தப் பாதுகாப்பை வெளிப்படையாக்குகிறது. புதிய பதிப்பை வழங்கிய வாடிக்கையாளர் அமைதியாகப் பின்வாங்கிய சேவையகத்தைக் கண்டறிய முடியும், ஏனெனில் சேவையகத்தின் சீரற்ற மதிப்பு 1.2 அல்லது அதற்குக் கீழே பேச்சுவார்த்தை நடத்தும்போது நிலையான வடிவத்தைக் கொண்டுள்ளது, வாடிக்கையாளர் அதைக் கண்டால் நிறுத்த வேண்டும். முழுப் பிரதியும் இறுதிச் செய்திகளால் மூடப்பட்டுள்ளது, எனவே பேச்சுவார்த்தையில் எங்கும் மாற்றம் பின்னர் தோல்வியடையும், அமைதியாகக் கடந்து செல்லாது.

பழைய நெறிமுறை பதிப்புகளின் கதைகள் பலவீனமாக இருந்தன, அதனால்தான் பின்வாங்கல் விதிகள் முக்கியம். ஒரே கட்டமைப்பில் உள்ள TLS 1.0 முனை டவுன்கிரேட் தாக்குதல் அல்ல; அது நீங்களே அனுமதிக்கத் தேர்ந்தெடுத்த அனுமதிக்கப்பட்ட முடிவு. வேறுபாடு என்னவென்றால், பலவீனமான முடிவு பாதுகாக்கப்பட்ட முடிவிலிருந்து வந்ததா அல்லது இடைத்தரகர் பாதிக்கக்கூடிய பாதுகாப்பற்ற பாதையிலிருந்து வந்ததா என்பதே. அப்படிச் சொன்னால் பெரும்பாலான சம்பவங்கள் கட்டமைப்புக் கேள்வியாக மாறும்.

IKEv2 வேறு விதமாக நடந்துகொள்கிறது ஆனால் அதே கருத்தில் நிற்கிறது. முன்மொழிவு பின்னர் இரு தரப்பையும் அங்கீகரிக்கும் பரிமாற்றத்தில் எடுத்துச் செல்லப்படுகிறது, எனவே அல்காரிதங்களை மீண்டும் எழுதும் நடுவுப் பெட்டி அங்கீகாரத்தை வழிநடத்துவதற்குப் பதிலாக உடைக்கிறது. OpenVPN இன் கட்டுப்பாட்டு வழித்தடம் TLS உடன் தன் பேச்சுவார்த்தையைப் பாதுகாத்து, பின்னர் அந்த வழித்தடத்தால் தரவு வழித்தடத்தின் சைஃபர்களை ஒப்புக்கொள்கிறது, அதனால்தான் கட்டுப்பாட்டு வழித்தடப் பதிவு வரி சுவாரஸ்யமானது.

கட்டமைக்கப்பட்ட இணக்கத்தன்மை தாக்குதல் அல்ல

நிர்வாகி ஆவணப்படுத்தப்பட்ட வாடிக்கையாளரை ஆதரிக்க வேண்டுமென்றே பழைய தேர்வுகளை அனுமதிக்கலாம், அந்த முடிவு கட்டமைப்பில் தெரிகிறது. தாக்குபவர் அந்தக் கட்டமைப்பை உருவாக்க முடியாது; சலுகையைப் பாதிக்க அனுமதிக்கும் பாதையை மட்டுமே பயன்படுத்த முடியும்.

ஆபத்தான பழுது வேறுபாட்டின் சான்றை நீக்குவதே. ஒவ்வொரு பழைய விருப்பத்தையும் இயக்குவது, சான்றிதழ் சரிபார்ப்பை முடக்குவது அல்லது பிழை மறைய எந்தச் சைஃபரையும் ஏற்பது முனை ஒப்புக்கொள்ளும் வரம்பை விரிவாக்கி, பலவீனமான முடிவைத் தெரிவிக்கக்கூடிய சோதனைகளை நீக்குகிறது.

ஒரு பழைய விருப்பத்தை வைத்திருக்க வேண்டுமானால், காரணத்தையும் வாடிக்கையாளரையும் கட்டமைப்புக் குறிப்பில் குறிப்பிட்டு, பின்னர் அந்த விருப்பத்தை அது தேவைப்படும் சுயவிவரத்திற்கு மட்டுப்படுத்துங்கள். ஒரு கேட்பவருக்கு மட்டுப்படுத்தப்பட்ட இணக்க விதிவிலக்கு தணிக்கை செய்யக்கூடியது; எல்லா இடங்களிலும் பயன்படுத்தப்பட்டது யாரும் தேர்ந்தெடுத்ததாக நினைவில் இல்லாத பலவீனமான இயல்புநிலை மட்டுமே.

காரணத்தைக் கூறும் முன் தோல்வியைப் படியுங்கள்

எந்த மாற்றத்திற்கும் முன் சரியான பிழை சரம், வாடிக்கையாளர் மற்றும் சேவையக பதிப்புகள், நேரத்தைச் சேமியுங்கள். பின்னர் வகைப்படுத்துங்கள்: தரப்புகள் முன்மொழிவில் உடன்படவில்லையா, பொதிப் பாதை தோல்வியடைந்ததா, அல்லது ஒரு தரப்பு முன்பு ஏற்றுக்கொண்ட அளவுருவை நிராகரித்ததா?

முன்மொழிவு பொருந்தாமை பொதுவாகக் குற்றவாளி பதிப்புகள் அல்லது அல்காரிதங்களைப் பெயரிட்டு ஒவ்வொரு முறையும் அதே புள்ளியில் தோல்வியடைகிறது. வழிசெலுத்தல் அல்லது MTU சிக்கல் நின்றுவிடும் அல்லது நேரம் முடிந்துவிடும், அது வலையமைப்புக்கு ஏற்ப மாறும். காலாவதியான சான்றிதழ் பேச்சுவார்த்தையின் அல்ல, சரிபார்ப்பின் பிழையைத் தருகிறது.

இவற்றில் எதுவும் தாக்குபவரின் சான்று அல்ல. முதல் தோல்வியிலேயே தீய காரணத்தைக் கூறுவதே தவறு, ஏனெனில் அது நாளை மீண்டும் தோல்வியடையும் உறுதியான பிழையை மறைக்கிறது.

உண்மையில் என்ன தேர்ந்தெடுக்கப்பட்டது என்பதை உறுதிப்படுத்துங்கள்

எந்தத் திருத்தத்திற்கும் பின் இணைப்பு வந்ததாக நம்புவதற்குப் பதிலாகப் பேச்சுவார்த்தை முடிவைப் படியுங்கள். சரிபார்ப்பு நீக்கப்பட்டதால் வெற்றிபெறும் இணைப்பே நீங்கள் தவிர்க்க முயன்ற முடிவு. கீழே உள்ள இரு கட்டளைகள் TLS முன்னால் உள்ள முனைக்குத் தேர்ந்தெடுக்கப்பட்ட பதிப்பு மற்றும் சைஃபரையும், மேலும் OpenVPN சேவையகப் பதிவின் கட்டுப்பாட்டு வழித்தட வரியையும் காட்டுகின்றன.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

முடிவை நீங்கள் கருதிய கட்டமைப்புடன் ஒப்பிடுங்கள், இப்போது இணைப்பது உடன் அல்ல. தேர்ந்தெடுக்கப்பட்ட பதிப்பு அனுமதிக்கப்பட்ட குறைந்தபட்சத்தை விடப் பழையதாக இருந்தால், சுயவிவரம் அல்லது பின்வாங்கல் பட்டியல் பார்க்க வேண்டிய இடம், பதில் அந்தப் பட்டியலைச் சரிசெய்வதே, தாக்குதல் அறிவித்து சுற்றியுள்ள அனைத்தையும் மீண்டும் கட்டுவதல்ல.