PPTP/MS-CHAPv2'yi devreden çıkarmak: eski bir VPN için uygulama kitabı

Her ay değiştirilen ve kasada saklanan yirmi karakterlik parolalar, MS-CHAPv2 çalıştıran bir PPTP sunucusunu modern bir VPN'e dönüştürmez. Parola, zayıflığı takasın kendisinde olan bir takasa giriştir. Bu uygulama kitabı, o sunucuyu devralan ve ona bağlı siteyi kesmeden kullanıcıları oradan taşımak zorunda olan içindir. Adımları sırayla uygulayın, çünkü her biri, birisi erişimin neden aniden değiştiğini sorduğunda ihtiyaç duyacağınız bir kayıt bırakır.

Herhangi bir şeye dokunmadan önce yığını yazın

Üç katman PPTP sözcüğünde birleşir ve her biri kendi biçiminde başarısız olur. Tünel PPTP'nin kendisidir, GRE artı TCP 1723. Kimlik doğrulama sunucunun sunduğu PPP yöntemidir, burada MS-CHAPv2. Bağlantı koruması MPPE'dir ve anahtarları o kimlik doğrulama takasından türetilir. Üçünü de adlandırmak, sonraki bir düzeltmenin yanlış katmana inmesini önler.

Bir wiki sayfasına güvenmek yerine canlı yapılandırmayı okuyun ve dosyayı, dinleyiciyi ve kimlik doğrulaması yapılan son oturumları not edin.

grep -RniE 'mschap|mppe|require-mppe' /etc/ppp/options.pptpd /etc/pptpd.conf
ss -lntp 'sport = :1723'
journalctl -u pptpd -n 40 --no-pager

Windows uzaktan erişim rolünde aynı envanter iki komuttan gelir ve ikincisi önemlidir çünkü bir rol aynı anda birkaç yöntem duyurabilir, oysa sahadaki istemciler her zaman yalnızca en zayıfı üzerinde anlaşır.

Get-VpnAuthProtocol
netstat -ano | findstr :1723

Tünelin bugün gerçekte ne taşıdığına karar verin

Değiştirmeyi seçmeden önce tüketicileri listeleyin: dolaşan dizüstü bilgisayarlar, bir şube yönlendiricisi, bir ödeme terminali, bir dizi saha tableti. Yalnızca bir iç ana bilgisayara ulaşması gereken tüketiciyi taşımak kolaydır. Yeniden flaşlayamadığınız donanıma gömülü bir tüketici, istemci güncellemesi yerine ara bir ağ geçidine ihtiyaç duyabilir ve bu karar geçişin ortasına değil, plana aittir.

Ardından, oturum açma takasını gözlemleyebilen veya etkileyebilen bir saldırganın ne elde edeceğini sorun. MS-CHAPv2'de yanıt, kullanıcının parolasının çevrimdışı kurtarılmasına izin veren malzemeyi içerir ve bu yüzden uzunluk ile rotasyon tasarımı onarmaz: kurtarılan sır, kullanıcının onu yeniden kullandığı her sistemde geçerlidir.

MPPE aynı zayıflığı devralır, çünkü anahtarları o takastan gelir ve size modern bir AEAD şifrelemesinin paket başına bütünlüğünü ve yineleme davranışını vermez. Temiz biçimde kimlik doğrulaması yapan bir oturum yalnızca yapılandırılmış denetimlerle uyumluluğu kanıtlamıştır, fazlasını değil.

Ne kısa bir öğle arası ne de küçük bir kullanıcı sayısı kriptografik bir özelliği politika özelliğine dönüştürür.

Geçişi tek bir bakım penceresinde yapın

Değişimi ayağa kaldırın, bir pilot grupla kanıtlayın, sonra eski dinleyiciyi sessiz bir yedek olarak bırakmak yerine durdurun. Herkesin hâlâ ulaşabildiği bir yedek geçiş değildir ve zayıf takası tam olarak geçmeye hiç zahmet etmeyen kullanıcılar için açık tutar.

sudo systemctl disable --now pptpd
sudo ss -lntp | grep -E ':(1723|1194|51820)\b'
sudo nft list ruleset | grep -i gre

Aynı pencerede güvenlik duvarı yolunu kapatın. GRE'nin hatırlanacak bir bağlantı noktası yoktur, bu yüzden 47 numaralı protokole numarayla izin veren bir kural kolayca gözden kaçar ve arka plan süreci gittikten sonra bile hizmeti erişilebilir bırakır. Kaldırdığınız kuralı, önceki konumunu ve nedenini kaydedin, böylece sonraki bir değişiklik incelemesi onu yanlışlıkla geri getirmez.

Kimlik bilgilerini yapılandırmadan ayrı ele alın. İstemci profilini kaldırmak iptal değildir ve başka bir yerde hâlâ kimlik doğrulaması yapan bir hesap hizmetten çıkarılmamıştır.

Değişimin PPTP'nin yaptığı işleri yaptığını doğrulayın

Kontrol listesi “bağlanıyor mu” değildir. Kimlik doğrulama, adres ataması, DNS çözümlemesi, rota seçimi, yeniden bağlanma davranışı ve eş doğrulamasının hepsinin değişim altında hâlâ geçerli olup olmadığıdır. Her birini bir pilot cihazda, o sırayla test edin ve gözlenen sonucu beklentinin yanına yazın.

ip -4 addr show tun0
ip route get 198.51.100.23
resolvectl query intranet.example.net

Arayüzdeki bir adres, görüşmenin tamamlandığını kanıtlar. Uzak tarafın beklediğiniz rotayı yetkilendirdiğini kanıtlamaz ve yukarıdaki sorgu yalnızca bu ana bilgisayar için yanıt verir, iletilen bir LAN için değil. Bir çözümleyici yanıtı çözümleyiciye erişilebildiğini kanıtlar, bölünmüş DNS ilkesinin oraya doğru adları gönderdiğini değil.

Yeniden bağlanmayı en son test edin, çünkü çoğu değişim orada geriler: dizüstü bilgisayarı uykuya alın, ağları değiştirin ve tünelin eski rotalar bırakmadan yeniden kurulduğunu doğrulayın.

Geri alma, iptal ve geride bıraktığınız kayıt

Geri alma hizmeti geri getirir; güvenliği geri getirmez ve bu fark pencere açılmadan önce yüksek sesle söylenmelidir. Yeni yol başarısız olursa kullanıcıları herkes için PPTP'yi yeniden açarak değil, ikinci bir modern uç nokta veya geçici bir ağ geçidi üzerinden geri getirin. Eski protokolde tek bir acil durum yolu tutmak, az önce belgelediğiniz maruziyeti genişletir.

Geçişten sonra PPTP üzerinden kimlik doğrulaması yapan hesapları iptal edin, saklanan profillerinin süresinin dolmasına izin verin ve GRE kuralının kimsenin hatırlamadığı olağanüstü durum kurtarma kopyası da dahil olmak üzere her uç cihazdan kalktığını doğrulayın.

Kısa bir kayıt bırakın: bulduğunuz protokoller, her dinleyicinin durduğu tarih, değişimin desteklediği istemci sürümleri ve kararı yeniden açabilecek sahip. Parola hijyeni sonrasında da önemlidir, ama hak eden bir protokolde hijyen olarak, eskisini yaşatmaya yönelik bir argüman olarak değil.