SSTP va SSL 3.0: yorliq kelishilgan versiyaga qarshi

Ikki kishi bir xil SSTP o'rnatilishiga qarab qarama-qarshi xulosalarga kelishi mumkin. Biri mahsulot hujjatlarini o'qiydi, SSL harflarini ko'radi va tunnel yillar oldin bekor qilingan protokolni ishlatyapti deb o'ylaydi. Ikkinchisi zamonaviy qo'l siqishga ishora qiladi va savol yopilgan deydi. Ikkalasi ham kelishilgan versiyadan emas, yorliqlardan bahslashadi va bulardan faqat bittasi dalildir. Qilishga arziydigan taqqoslash nom va'da qilgan narsa bilan xizmat haqiqatda tanlagan narsa orasidadir.

Bir savolga ikki javob

Yorliq dalilini aytish oson: SSTP xavfsiz soket tunnel protokoli deb ta'riflanadi, tarixiy nom SSL deydi, shuning uchun ulanish SSL 3.0 bo'lishi kerak. U nom haqiqatan shu avloddan kelgani va uni takrorlovchilarning ko'pchiligi hech qachon qo'l siqishga qaramagani uchun saqlanib qoladi. Shuningdek, xulosa ehtiyotkor tuyulgani uchun ham saqlanadi, go'yo eng yomonini farz qilish xavfsiz tanlovdek. Eng yomonini farz qilish va haqiqiy versiyani o'lchash ikki xil mashg'ulotdir va ulardan faqat bittasi nimanidir o'zgartiradi.

Dalil argumenti torroq savol beradi. Bu klient va bu server shu oxirgi nuqtada, shu vaqtda qaysi protokol versiyasida kelishdi? Javob TLSni tugatuvchi xizmatdan keladi, biron marketing sahifasidan yoki o'xshash nomli saytga yetgan brauzerdan emas.

Ikki argument nimani isbotlay olishi bilan farq qiladi. Yorliq eski o'rnatishni yamalganidan ajrata olmaydi va qo'l siqish xuddi shu hostdagi aloqasiz xizmat nima qilayotganini ayta olmaydi. Ikkinchisidan foydalaning va birinchisidan foydalanishni to'xtating.

Xizmat haqiqatda tanlagan versiyani o'qing

Komponentlarni nomlashdan boshlang: klient tatbiqi, server tatbiqi, TLS oxirgi nuqtasi va ular orasida TLSni tugatib qayta tiklaydigan hamma narsa. TLSni tugatib backend bilan oddiy HTTP gaplashadigan yuk balanslagichi qaysi qurilmaning siyosatini o'qishingiz kerakligini o'zgartiradi.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null> | grep -E 'Protocol|Cipher'
Get-WinEvent -LogName System -ProviderName Schannel -MaxEvents 20

Oxirgi nuqta va vaqtni natija yonida qayd eting, chunki siyosatning keyingi o'zgarishi sanasiz kuzatuvni foydasiz qiladi. Tekshiruvni siz uchun muhim foydalanuvchilar bilan bir xil tarmoq yo'lidagi klientdan takrorlang, chunki to'sib qo'yuvchi qurilma TLSni o'z sozlamalari bilan tugatishi mumkin. Ikki pozitsiya mos kelmasa, muhim komponentni topdingiz. Mos kelsa, shior o'rniga dalilingiz bor.

Yozuv maydonini muzokaralardan ajrating

Bir maydonda eski ko'rinadigan versiya raqami SSL 3.0 seansi bilan bir xil fakt emas. RFC 7568 yozuv qatlami versiyasini va kelishilgan protokolni alohida masalalar deb ko'radi va ishonchli noto'g'ri javoblar aynan shu farqdan chiqadi. Kelishilgan protokolni o'qing, keyin shifrni va shundan keyingina seans haqida xulosa chiqaring.

O'sha hujjat protokolning o'zi borasida bir ma'noli: SSL 3.0 ishlatilmasligi kerak va u bilan muzokara yoki orqaga qaytish taqiqlangan. Sabab POODLE hujumi foydalangan buzilgan CBC tuzilishi va bu protokolning xossasi, bitta tatbiqning konfiguratsiyasi emas.

Shuning uchun „bu yuklamani ekspluatatsiya qilish qiyin bo'lsa kerak“ SSL 3.0ni yoqilgan holda qoldirish uchun dalil emas. Talab protokolni olib tashlash, bitta namoyish haqidagi bahsni yutish emas.

SSL 3.0ni himoya qila oladigan siyosat bilan iste'moldan chiqaring

Windowsda Schannel protokol sozlamalari Protocols kaliti ostida bo'ladi va klient hamda server roli uchun alohida o'qiladi, shuning uchun bir yo'nalishni tuzatuvchi o'zgarish ikkinchisini tegilmagan qoldirishi mumkin. Joriy sozlamalar va ularning qayta ishga tushirish talablari Microsoft tomonidan hujjatlashtirilgan va xuddi shu hostdagi uchinchi tomon TLS kutubxonasi ularni butunlay e'tiborsiz qoldiradi.

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server'
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols'

Siyosatni qo'llab-quvvatlanadigan boshqaruv yo'li bilan o'zgartiring, egasi xizmat konfiguratsiyani qayta olishini tasdiqlang va qaytishning tasdiqlangan yo'lini saqlang. Boshqa muhitdan keng reyestr skriptini yopishtirish bitta xizmat tuzatishining mashinadagi har bir TLS klienti uchun uzilishga aylanish usulidir. Qayta ishga tushirish qamrovi bu yerda muhim: qo'llangandek ko'ringan sozlama hali ham uni qayta yuklamagan xizmat xotirasida bo'lishi mumkin.

Hali ham eskirgan versiyani talab qiladigan hamkorga yangilanish yoki migratsiya rejasi kerak. Eski protokolni jim ravishda tiklaydigan hujjatlashtirilmagan istisno moslik strategiyasi emas va keyingi auditdan o'tmaydi.

O'zgarishni yangi ulanishlar bilan qabul qiling

Siyosat o'zgarishidan keyin yangi seanslar bilan sinab ko'ring, chunki o'zgarishdan oldin o'rnatilgan ulanish hozir amalda bo'lgan konfiguratsiya haqida hech narsani isbotlamaydi. Ruxsat etilgan protokol muvaffaqiyatli, taqiqlangani esa vakolatli tekshiruv jarayonida muvaffaqiyatsiz bo'lishini tasdiqlang, so'ng sertifikat identifikatori va ishonch tekshiruvlarini avvalgidek qoldiring.

Qo'l siqish nimani qamrab olmasligini esda tuting. SSTP TLS qatlamidan keyin PPP autentifikatsiyasini olib yuradi, shuning uchun zamonaviy protokol versiyasi qaysi foydalanuvchi vakolatlangani yoki seans qaysi resurslarga yeta olishi haqida hech narsa demaydi. Bular alohida dalillarga ega alohida nazoratlardir.

Natijani xizmat, backend, ruxsat etilgan siyosat va kuzatilgan versiya sifatida yozing. Bunday qayd xavfsizlik savoliga aniq javob beradi; buni na yorliq argumenti, na noqulaylik argumenti hech qachon qilmaydi.