Windows VPN sağlamlaştırması: önce kimlik doğrulamayı, sonra tüneli düzeltin

Windows VPN sunucunuz kullanıcı adı ve parola ister ve o tek iletişim kutusu birbiriyle ilgisiz üç görevi gizler. Biri kişinin kim olduğunu kanıtlar, biri hattı izleyen birinin bu kanıtı yeniden kullanmasını engeller, biri de ardından hangi adreslere erişebileceğine karar verir. Küçük kurulumların çoğu önce tüneli sağlamlaştırır ve ilk iki görevi varsayılan değerlerinde bırakır, ki bu yanlış sıradır.

Saldırganın çalıştığı sırayla çalışın. Önce hattan yakalanabilen. Sonra o kayıtla daha sonra yeniden oynatılabilen. En sonunda, kimliği doğrulanmış bir saldırganın içeri girdikten sonra ulaşabildiği.

Üç görev, tek iletişim kutusu

Kimlik, insanların üzerinde düşündüğü kısımdır ve sorunun yalnızca üçte biridir. Kimlik kanıtı, alışverişi kaydedip sonra yeniden deneyen bir gözlemciye dayanmalıdır. Yetkilendirme ise kimlik belirlendikten sonra sunucunun verdiği ayrı bir karardır ve Windows bunu, kimlik bilgilerini doğrulayan hizmetten farklı bir hizmette tutar.

Üçü de tek bir zihinsel kovada yaşadığında olağan sonuç, güçlü kimlik doğrulaması yapıp ardından kullanıcının her şeye erişmesine izin veren bir sunucudur. Bunu sonradan düzeltmek, politikayı şimdi belirlemekten daha zordur, çünkü o zamana kadar güvenlik duvarı profili, adres havuzu ve yollar eski varsayımı kodlamış olur.

Herhangi bir ayara dokunmadan önce üçünü notlarınızda ayırın, sonra en zayıf halkadan yukarı doğru düzeltin.

MS-CHAPv2 neden yeniden oynatma testini geçemez

Sunucu hâlâ MS-CHAPv2 ile PPTP kabul ediyorsa tünel parolayı anlamlı bir biçimde korumuyor demektir. Meydan okuma ve yanıt yakalanıp çevrimdışı saldırıya uğrayabilir ve 2012'de halka açık bir kırma hizmeti, tipik bir parola için böyle bir el sıkışmadan yaklaşık bir günde geri kazanımı gösterdi. Daha uzun ve karmaşık parola maliyeti artırır; saldırganın ağdan ihtiyaç duyduğu malzemeyi ortadan kaldırmaz.

İhtiyacınız olan özellik yeniden oynatılamayan bir kimlik bilgisidir. İstemci sertifikalarıyla EAP-TLS her cihaza kendi kimliğini verir ve tam olarak bir cihazı iptal etmenizi sağlar.

Sertifika dağıtımı gerçek bir iştir: özel bir CA, istemcilerin denetlediği bir iptal yolu ve personel değişimine dayanan bir yenileme planı. Bu işi proje olarak görün, sizinle çalışan bir tünel arasındaki engel olarak değil. Bütçesini güvenlik duvarı değişimi için ayıracağınız gibi ayırın. Paylaşılan parola yalnızca ilk iptale kadar daha ucuzdur.

Önceden paylaşılan anahtar çifti doğrular, kişiyi değil

L2TP/IPsec önceden paylaşılan anahtarla iki ağ geçidinin aynı sırrı bildiğini kanıtlar. Hangi insanın bağlandığı hakkında hiçbir şey söylemez ve o katmanda bir çalışanı diğerinden ayıramaz. Uzun rastgele bir değer kullanın, bazı kılavuzların önerdiği on karakterin çok üstünde, çünkü el sıkışmayı yakalayan herkes anahtara çevrimdışı saldırabilir.

O profildeki her istemci sırrı paylaşır, bu yüzden bir kişiyi çıkarmak onu kalan herkese yeniden dağıtmak anlamına gelir. Makine düzeyindeki sırrın üzerinde ayrı bir kullanıcı kimlik doğrulama adımı tutun ve istemci sayısı arttıkça sertifikalara geçin. Önceden paylaşılan anahtarın MS-CHAPv2 ile birleşimi iki zayıf katmandır ve ikincisi birinciyi etkisiz kılar.

Yetkilendirme Network Policy Server'a aittir

Windows'ta NPS kimin bağlanabileceğine karar verir ve bunu kimlik doğrulaması zaten başarılı olduktan sonra yapar. Bu ayrım üründeki en yararlı sağlamlaştırma denetimidir ve birçok kurulum onu el değmemiş bırakır.

Gerçek kısıtları yansıtan ilke koşulları kullanın: grup üyeliği, desteğin personelli olduğu zaman aralığı ve bir sağlık denetiminden gelen cihaz durumu. Verinin sürtünmeyi haklı çıkardığı yerde ikinci bir faktör ekleyin ve ilkenin her bağlantı denemesinde değerlendirildiğini unutmayın, bu da onu belge değil canlı bir denetim yapar.

RADIUS muhasebesi size kimin ne zaman bağlandığına dair tek bir kayıt da verir. Bu günlük, olay incelemesi ile tahmin arasındaki farktır ve kimse okusa da okumasa da vardır.

Başarılı bir oturum açmanın nereye erişebileceğini sınırlayın

VPN bağdaştırıcısı, tüm alt ağa değil, rolünün gerektirdiği hizmetlere izin veren bir güvenlik duvarı profilinde sonlanmalıdır. Yönlendirme sorunu filtrelemeden ayrıdır. Tam tünel istemci cihazını korur ve her baytı yukarı bağlantınızdan geçirir, bölünmüş tünel ise yerel trafiği yerelde tutar ve cihazı bulunduğu her ağa maruz bırakır.

Seçeneklerin hiçbiri güvenlik varsayılanı değildir. İkisi de varsaydıkları güvenlik duvarı profilinin yanına yazılmalıdır.

Başarısızlık yollarını doğrulayın

Neyin kırılması gerektiğini test edin: yanlış parola, süresi dolmuş sertifika, iptal edilmiş cihaz, grup dışındaki kullanıcı. Her biri farklı bir noktada başarısız olmalı ve günlük hangisi olduğunu söylemelidir. Kümeyi önce bir test hesabında çalıştırın, sonra gerçek bir kullanıcı için yineleyin. Sebepsiz olarak olay günlüğüne düşen bir ret, o kayda ihtiyaç duymadan çok önce düzeltilmeye değer.

Ardından hangi bağlantı noktalarının yayımlandığını ve nedenini doğrulayın. PPTP, TCP 1723 ve bağlantı noktası yerine IP protokolü olarak GRE gerektirir, IKEv2 UDP 500 ve 4500 gerektirir, L2TP ise UDP 1701 ve IPsec gerektirir. Bir istemcinin bağlanması için yönetim arayüzünü açığa çıkarmak onarım değil, keşfedilmeyi bekleyen ikinci bir olaydır.

Son olarak sunucunun neyi ve ne kadar süre kaydettiğine karar verin. Kimlik doğrulama geçmişi olmayan bir uç nokta, bir olaydan sonraki ilk soruyu yanıtlayamaz: denemenin herhangi bir zaman yetkilendirilip yetkilendirilmediğini.