சரியான ஒரு-முறை குறியீடு VPN உள்நுழைவில் ஏன் தோல்வியடைகிறது

நீங்கள் VPN கிளையண்டைத் திறந்து, கடவுச்சொல்லைத் தட்டச்சு செய்கிறீர்கள், உங்கள் அங்கீகரிப்பான் அனுப்பும் ஆறு இலக்கங்கள் தவறானவை எனத் திரும்பி வருகின்றன — இரண்டு முறை, பின்னர் மூன்றாவது முறையும். நேற்றிலிருந்து கணக்கில் எதுவும் மாறவில்லை, எனவே முதல் உணர்வு அங்கீகரிப்பானில் உள்ள உள்ளீட்டை நீக்கி மீண்டும் ஸ்கேன் செய்ய வேண்டும் என்பதாகும் — பொதுவாக அதுவே தவறான சரிசெய்தல். ஒரு-முறை குறியீடு இரண்டாவது கடவுச்சொல் அல்ல: நுழைவாயில் அதை ஒரு குறிப்பிட்ட படியில், ஒரு குறிப்பிட்ட பதிவுசெய்யப்பட்ட உள்ளீட்டிலிருந்து, ஒரு குறிப்பிட்ட சாளரத்திற்குள் கேட்க வேண்டும், மேலும் பெரும்பாலான நிராகரிப்புகள் இலக்கங்கள் ஒப்பிடப்படுவதற்கு முன்பே நடக்கின்றன. பதிவைத் தொடுவதற்கு முன் நீங்கள் எந்தப் படியில் இருக்கிறீர்கள் என்பதைக் கண்டறியுங்கள்.

கேள்விகளின் வரிசை நீங்கள் எந்த ஓட்டத்தில் இருக்கிறீர்கள் என்பதைச் சொல்கிறது

குறியீடு உள்ள எந்த VPN உள்நுழைவும் ஏறக்குறைய மூன்று வடிவங்களில் வரும். இரு-படி வடிவத்தில் கிளையண்ட் கடவுச்சொல்லை அனுப்புகிறது, சேவையகம் சவாலை வெளியிடுகிறது, கிளையண்ட் மீண்டும் கேட்கிறது. கூட்டு வடிவத்தில் நுழைவாயில் கடவுச்சொல்லையும் குறியீட்டையும் ஒரே சமர்ப்பிப்பில் கேட்கிறது — சில நேரங்களில் இணைக்கப்பட்டு, சில நேரங்களில் இயக்குபவர் மட்டுமே ஆவணப்படுத்தும் பிரிப்பானுக்குப் பிறகு. உலாவி வடிவத்தில் கிளையண்டிடம் எந்தப் புலமும் இல்லை: குறியீடு ஒரு வலைப்பக்கத்திற்குச் செல்கிறது, அல்லது தள்ளல் ஒப்புதல் அதற்குப் பதிலாக வருகிறது, டெஸ்க்டாப் கிளையண்ட் முடிவுக்காகக் காத்திருக்கிறது.

தவறான வடிவம் மோசமான குறியீடு போலத் தெரிகிறது. கடவுச்சொல்லுக்கு மட்டுமான புலத்தில் புதிய குறியீட்டை ஒட்டுங்கள், சேவையகம் அதைக் கடவுச்சொல்லின் பகுதியாகப் படிக்கும். கிளையண்ட் பக்கத்தில், OpenVPN 2.4 மற்றும் அதற்குப் பிந்தையவை வேறுபாட்டைத் தெரியவைக்கின்றன: AUTH_FAILED,CRV1: உடன் பதிலளிக்கும் சேவையகம் சவால் பதிலை எதிர்பார்க்கிறது, எனவே சுயவிவரத்திற்கு static-challenge அல்லது SCRV1: வடிவிலான கடவுச்சொல் கோப்பு தேவை. auth-user-pass மட்டும் கொண்ட பழைய சுயவிவரம் கடவுச்சொல்லைச் சரிபார்த்து பின்னர் நிற்கிறது, இது பதிவில் OTP தோல்வி போலத் தெரிகிறது, ஆனால் எந்தக் குறியீடும் அனுப்பப்படவில்லை.

WireGuard விதிவிலக்காகக் குறிப்பிடத்தக்கது: இது மக்களை அல்ல, விசை இணைகளை அங்கீகரிக்கிறது, எனவே குறியீட்டிற்கு புலம் இல்லை. வழங்குநர் அத்தகையதை விளம்பரப்படுத்தினால், சுரங்கப்பாதைக்கு வெளியே ஏதோ அதை ஏற்கிறது.

சேவையகம் ஆறு இலக்கங்களுடன் என்ன செய்கிறது

நேரம் சார்ந்த குறியீடுகள் RFC 6238-ஐப் பின்பற்றுகின்றன, இது RFC 4226-இன் பழைய எண்ணி சார்ந்த கட்டமைப்பைச் சுற்றுகிறது: நகரும் காரணியின் மீது HMAC, இயல்பாக ஆறு இலக்கங்களாக வெட்டப்படுகிறது. TOTP-இல் நகரும் காரணி தற்போதைய Unix நேரம் ஒரு படியால் வகுக்கப்பட்டது, இயக்குபவர் மாற்றாவிட்டால் 30 வினாடிகள். சரிபார்ப்பவர் உங்கள் இலக்கங்களைச் சேமிக்கப்பட்ட மதிப்புடன் ஒருபோதும் ஒப்பிடுவதில்லை; பகிரப்பட்ட விதையிலிருந்து எதிர்பார்க்கப்பட்ட குறியீட்டை மீண்டும் கணக்கிட்டு, பொதுவாக அடுத்தடுத்த படிகளையும் ஏற்கிறார், எனவே மெதுவான சுற்று உள்நுழைவைத் தோல்வியடையச் செய்யாது.

இரு விளைவுகள் கவனிக்கப்படுவதில்லை. தொலைபேசியின் நேர மண்டலம் பொருந்தாது, ஏனெனில் விதை ஒருபோதும் உள்ளூர் கடிகாரத்தைப் பார்ப்பதில்லை — உண்மையான UTC-இலிருந்து விலகல் மட்டுமே முக்கியம், இரண்டு நிமிடங்கள் முன்னால் செல்லும் சாதனம் தூய்மையான கவுண்ட்டவுனைக் காட்டியபடியே ஒவ்வொரு குறியீட்டிலும் தோல்வியடைகிறது. மேலும் குறியீடு வடிவமைப்பின்படியே ஒரு-முறை மட்டுமே: சரிபார்ப்பவர் அந்த விதைக்கு இறுதியாக ஏற்றுக்கொண்ட எண்ணி மதிப்பை நினைவில் வைத்திருக்கிறார், எனவே அதே இலக்கங்கள் மீண்டும் சமர்ப்பிக்கப்பட்டால் அதே சாளரத்திற்குள்ளும் நிராகரிக்கப்படும். நேரம் முடிந்த பின் மீண்டும் முயலும் கிளையண்ட் இப்போது அனுப்பிய குறியீட்டை எரிக்கக்கூடும்.

எண்ணி சார்ந்த டோக்கன்கள் ஒவ்வொரு அழுத்தத்திலும் தங்கள் எண்ணியை நகர்த்துகின்றன, எனவே குறியீடுகள் உருவாக்கப்பட்டுப் பின்னர் அனுப்பப்படாவிட்டால் ஒத்திசைவிலிருந்து வெளியேறுகின்றன; வழக்கமான சரிசெய்தல் முன்னோக்கி சில மதிப்புகளை ஏற்கும் மறுஒத்திசைவு சாளரம். இயக்குபவர் HOTP பதிவுசெய்து, உங்கள் செயலி TOTP காட்டினால், ஒவ்வொரு மதிப்பும் கடிகாரப் பிரச்சினை போலத் தெரியும் வகையில் தவறாக இருக்கும். QR குறியீட்டின் பின்னணியில் உள்ள வழங்கல் URI வகை, இலக்கங்கள், காலம் மற்றும் ஹாஷைப் பெயரிடுகிறது.

தவறான குறியீடு போலத் தெரியும் தோல்விகள்

மிகவும் பொதுவான காரணம் பதிவுசெய்யப்பட்ட உள்ளீடுதான். அங்கீகரிப்பான் செயலிகள் உள்ளீடுகளை வழங்குநர் மற்றும் கணக்கின்படி லேபிள் செய்கின்றன, எனவே ஒரே VPN-இல் இரண்டு அடையாளங்கள் உள்ளவருக்கு லேபிள்கள் ஒரு எழுத்தில் வேறுபடும் இரண்டு உள்ளீடுகள் இருக்கலாம். குறியீடு அதை உருவாக்கிய விதைக்கு மட்டுமே செல்லுபடியாகும், வேறு எதற்கும் அல்ல. தொலைபேசியில் உள்ள லேபிளை சேவையகம் பதிவுசெய்யும் பயனர்பெயருடன் ஒப்பிடுங்கள், நீங்கள் தட்டச்சு செய்ததாக நினைவில் இருப்பதுடன் அல்ல.

இரண்டாவது, பொருந்தாத அளவுருத் தொகுப்பு. எட்டு இலக்கங்கள், 60 வினாடி காலம் அல்லது SHA-256 உடன் பதிவுசெய்யப்பட்ட விதை, ஆறு இலக்கங்கள், 30 வினாடிகள் மற்றும் SHA-1 எதிர்பார்க்கும் சரிபார்ப்பவர் நிராகரிக்கும் குறியீடுகளைத் தருகிறது, கிளையண்டில் அதைத் தவறான குறியீட்டிலிருந்து வேறுபடுத்த முடியாது. QR குறியீட்டின் புகைப்படத்திலிருந்து உள்ளீடு மீண்டும் சேர்க்கப்பட்ட அல்லது டோக்கன் பதிவு இயல்பு மதிப்புகளுடன் மீண்டும் கட்டப்பட்ட இடம்பெயர்வுகளுக்குப் பிறகு இது தோன்றுகிறது.

மூன்றாவது குறியீட்டைப் பற்றியது அல்ல. நுழைவாயில்கள் பொதுவாக தவறான கடவுச்சொல், காலாவதியான குறியீடு மற்றும் முடக்கப்பட்ட கணக்கிற்கு ஒரே பொதுவான அங்கீகாரத் தோல்வியைத் திருப்பித் தருகின்றன, வேண்டுமென்றே, எந்தக் காரணி தோல்வியடைந்தது என்பதை யாரும் ஆராய முடியாதபடி. கிளையண்டின் பேனருக்குப் பதிலாக நுழைவாயில் அல்லது RADIUS பதிவைப் படியுங்கள்: வெளியிடப்படாத சவால், OTP பண்பு இல்லாத அணுகல் மறுப்பு மற்றும் கொள்கை மறுப்பு திரையில் ஒரே மாதிரியாகத் தெரிந்து வெவ்வேறு அடுத்த படிகளுக்கு இட்டுச் செல்கின்றன.

இதைச் சுருக்கும் சிறிய வரிசை

மிக மலிவான சரிபார்ப்பிலிருந்து தொடங்கி, பொருந்தாத முதல் படியில் நிறுத்துங்கள்.

1. புதிய குறியீட்டிற்காகக் காத்திருங்கள், ஒரு முறை அனுப்புங்கள், சவால் கடவுச்சொல் ஏற்கப்படுவதற்கு முன் வருகிறதா பின் வருகிறதா என்பதைக் கவனியுங்கள்.
2. அங்கீகரிப்பானில் உள்ள லேபிளை சேவையகம் சேமிக்கும் பயனர்பெயருடன் பொருத்துங்கள்.
3. சுயவிவரம் சவாலுக்குப் பதிலளிக்க முடியுமா என்பதை உறுதிசெய்யுங்கள், மேலே உள்ள CRV1 நிகழ்வைப் போல.
4. சாதனத்தின் கடிகாரத்தை அறியப்பட்ட நேர மூலத்துடன் ஒப்பிடுங்கள்; சில பத்து வினாடிகளுக்கு மேலான விலகல் TOTP-ஐத் தானாகவே உடைக்கிறது.
5. டோக்கன் TOTP-ஆ அல்லது HOTP-ஆ, எந்த இலக்கங்கள், காலம் மற்றும் ஹாஷ் பதிவுசெய்யப்பட்டன என இயக்குபவரிடம் கேளுங்கள்.

இது மேலும் மோசமாவதைத் தடுக்கும் இரு விதிகள் உள்ளன. பல முறை மீண்டும் முயல வேண்டாம்: பல நுழைவாயில்கள் கணக்கிற்குத் தோல்விகளை எண்ணி அதைப் பூட்டுகின்றன அல்லது பதில்களைத் தாமதப்படுத்தத் தொடங்குகின்றன, எனவே ஒரு முயற்சிக் குவியல் சிறிய அமைப்பு பிழையை ஆதரவு டிக்கெட்டாக மாற்றுகிறது. மேலும் கண்டறிதலுக்காக டோக்கனை மீண்டும் பதிவுசெய்ய வேண்டாம், ஏனெனில் அது பழைய விதையைச் செல்லாததாக்கும்; உண்மையான குறைபாடு கிளையண்ட் அனுப்பாத சவாலாக இருந்தால், இப்போது ஒன்றுக்குப் பதிலாக இரண்டு மாற்றங்களை விளக்க வேண்டும்.

விதையையும் மீட்புக் குறியீடுகளையும் சுழற்சிக்கு வெளியே வையுங்கள்

ஆறு இலக்கங்களும் அவற்றின் பின்னால் உள்ள ரகசியமும் ஒன்றுக்கொன்று மாற்றக்கூடியவை அல்ல. வழங்கல் QR குறியீடு அல்லது Base32 விதை கணக்கின் ஒவ்வொரு எதிர்கால குறியீட்டையும் உருவாக்குகிறது, எனவே இது கடவுச்சொல்லின் அதே வகையைச் சேர்ந்தது: திரைப்பிடிப்பில் அல்ல, டிக்கெட் கருத்தில் அல்ல, முதலில் உங்களைத் தொடர்பு கொண்டவருடனான அரட்டையிலும் அல்ல. மீட்புக் குறியீடுகள் தனி முறை — ஒரு-முறை, பல நேரங்களில் குறியீட்டுக் கேள்வியை முழுவதுமாகத் தவிர்க்கின்றன, கணக்கைச் சோதிக்க ஒன்றைச் செலவழிப்பது பின்னர் தேவைப்படக்கூடிய மாற்று வழியை நீக்குகிறது.

குறியீடு உள்நுழைவுப் பக்கத்தை நம்பகமானதாகவும் ஆக்காது: ஒத்த டொமைனில் OTP கேள்வி செல்லுபடியான குறியீட்டைச் சேகரித்து அதே சாளரத்திற்குள் மீண்டும் இயக்குகிறது, நீங்கள் எங்கே தட்டச்சு செய்கிறீர்கள் என்பதை இன்னும் சான்றிதழே சொல்கிறது.

வரிசை சவாலுக்குப் பதிலளிக்க முடியாத சுயவிவரத்தில் முடிந்தால், சுயவிவரத்தைச் சரிசெய்து ஒரு புதிய குறியீட்டுடன் மீண்டும் சோதியுங்கள். அது பொருந்தாத பதிவு அளவுருக்களில் முடிந்தால், யாரும் எதையும் ஸ்கேன் செய்வதற்கு முன் இயக்குபவரை டோக்கன் பதிவைப் படிக்கச் சொல்லுங்கள். அது பூட்டுதலில் முடிந்தால், கிளையண்டுகளை மாற்றுவதற்குப் பதிலாக அது முடியும் வரை காத்திருங்கள் — தடையானது கணக்கின் நிலை, செயலி அல்ல.