Yanlış VPN denemesi: hangi kimlik bilgisi sınıfı sınırı aştı?
Başarısız bir deneme hiçbir şey göndermemiş ya da yanıt verene bir parola teslim etmiş olabilir. Neyi iptal edeceğinize karar vermeden önce kanıtı sınıflandırın.
Yanlış VPN'e bağlandınız ve istemci bir hata bildirdi. Bunun önemli olup olmadığı, hatadan önce hattan ne geçtiğine bağlıdır ve kelimenin kendisi bunu size söylemez. Bazı el sıkışmalar hiçbir sır taşımaz, bazıları ise adrese yanıt veren herkese bir parola teslim eder. Herhangi bir şeyi iptal etmeden önce bu iki durumdan hangisinin yaşandığını belirleyin.
Durun ve kanıtları saklayın
İstemci günlüğünü, seçilen profili, yazdığınız adresi ve yaklaşık saati saklayın. Bunları istemcinin dışında bir yere yazın, çünkü profil düzenlemesi veya yeniden kurulum ihtiyaç duyacağınız kaydı yok eder. Uç nokta kontrol ettiğiniz bir yoldan doğrulanana kadar her yeni denemeyi durdurun.
Denemenin güvenli olup olmadığını sorarken düzenlenmemiş bir profili veya günlüğü asla genel bir forumda paylaşmayın. Bu belgeler çoğu zaman bir özel anahtar yolu, iç ana makine adı veya belirteç içerir, bu yüzden önce düzenleyin ve uç noktanın sahibi olan yöneticiyle paylaşın.
Sınırı ne aşabilir
Karışıklığın çoğu her hatayı tek bir olay türü olarak ele almaktan doğar. Dört farklı şey diğer tarafa ulaşabilir: açık bir sertifika, bir anahtarın kullanıldığını kanıtlayan bir imza, bir parola veya tek kullanımlık kod ve kendi seçtiğiniz bir dosya. Her birinin kendi sonucu ve kendi onarımı vardır. Kanıtı sınıflandırmak, sonrasındaki her şeyi belirleyen adımdır.
Sertifika durumu en hafifidir, çünkü yola çıkan şey tasarımı gereği açıktır ve tanımlayıcı alanları bağlanan herkes tarafından zaten görülebilir. Bir meydan okuma üzerindeki imza anahtarın kullanıldığını söyler, gönderildiğini değil. Parola bunun tersidir: onu alan kişi başka yerde deneyebilir ve parolaları doğrulamak için kurulmuş bir hizmet tam olarak o değerin amaçlanan alıcısıdır.
Anahtar kanıtı anahtar yüklemesi değildir
Modern TLS bu iki fikri bilerek ayrı tutar. RFC 8446, istemcinin sertifikasıyla eşleşen özel anahtarla bir meydan okumayı imzaladığı CertificateVerify mesajını tanımlar. İmza, anahtarı taşımadan sahipliği gösterir, bu yüzden sertifikayla kimliği doğrulanmış bir deneme otomatik olarak anahtar ihlali değildir.
Bu güvencenin belirtilmeye değer bir sınırı vardır. Kanıt, anahtarın o alışverişe katıldığını gösterir ve makinedeki yerel bir programın şimdiden ne okumuş olabileceği hakkında hiçbir şey söylemez. Bilinmeyen bir denemenin gerçekte ne kadar ilerlediğini de söylemez, bu yüzden günlük hâlâ teoriden daha önemlidir.
Parolalar tamamen farklı bir güven modeli izler. Dış doğrulayıcıyla yapılandırılmış bir yoğunlaştırıcı, sunulan değeri iletebilir, bu nedenle onu almak amaçlanan işlevdir ve yanlış hedef teorik değil gerçek bir maruziyettir.
Denemeyi günlükten yeniden kurun
Dört olgu denemeyi yeniden kurar: gerçekte iletişim kurulan adres, sunucu kimliğinin doğrulanıp doğrulanmadığı, hangi kimlik doğrulama yönteminin seçildiği ve sürecin nerede durduğu. Her biri bir istemci günlüğünde görünür ve her biri farklı bir öyküyü dışlar. Rotalar veya atanmış bir adres hakkındaki hata, hatta zaten ne olduğunu söylemez, çünkü kimlik doğrulama tünel kurulumu başarısız olmadan önce tamamlanmış olabilir.
Bu olguları bellekten değil istemcinin kendi günlüğünden çıkarın. Dar bir süzgeç çıktıyı düzenlenip paylaşılabilecek kadar kısa tutar:
grep -n -i -E 'verify|authentication|certificate|error|timeout' client.log | tail -30Bunların hiçbiri için ana makine adını değiştirmeyin. Tanıdık bir ad, güncel bir DNS yanıtı ve yazılımın gösterdiği sertifika uyarısı şimdiki zamanı anlatır, önceki bağlantıyı değil. Parola istemi de bir şeyin gönderildiğinin kanıtı değildir, çünkü istemci onu göndermeden önce başarısız olmuş olabilir.
Karar verin, sonra harekete geçin
Karar kanıttan doğar, hatanın ne kadar endişe verici göründüğünden değil. Dört satırı yeniden kurduğunuz olgulara karşı okuyun:
| Decision | Evidence that puts you here | Evidence that rules it out |
|---|---|---|
| Change the password now | A password was submitted and a server reply arrived | The log stops before any submission |
| Review active sessions | A one-time code was accepted by the wrong endpoint | The code was never sent, or was rejected before use |
| Revoke and reissue | The file you selected contained key material, not just settings | The upload was a profile with no embedded key |
| No further action | The attempt ended before any authentication value was offered | You later find an earlier attempt you had forgotten |
Bir parola istenmeyen bir hizmete ulaştıysa, hesap yönetimi kanalından değiştirin ve başka nerede yeniden kullanıldığını denetleyin. Süresi dolmuş tek kullanımlık kod o yolu kapatır, ancak onunla oluşturulan oturum kapatmaz, bu yüzden kimlik yöneticisinden oturumları incelemesini isteyin. Bir anahtar dosyası gerçekten yüklendiyse, kötüye kullanım kanıtı beklemek yerine veren kuruluşun iptal sürecini izleyin.
Ardından sınırlı sonucu yazın: ne gönderildi, ne bilinmiyor ve hangi kimlik bilgisi işlem gerektiriyor. Sonraki bir incelemenin isteyeceği kayıt budur ve iki rahat sonuçtan herhangi birinden daha yararlıdır.