सामान्य उपयोगकर्ताओं के लिए वीपीएन। असली जरूरत है या बेकार विकल्प?

वर्चुअल प्राइवेट नेटवर्क (वीपीएन) के बारे में कई लेखों पर: आत्म-विन्यास गाइड, प्रौद्योगिकी अवलोकन, उपयोग के उदाहरण। उन सभी को, एक डिग्री या किसी अन्य के लिए, उन उन्नत उपयोगकर्ताओं के लिए डिज़ाइन किया गया है, जो आधुनिक सूचना स्थान में खतरों से अच्छी तरह वाकिफ हैं और उद्देश्यपूर्ण तरीके से सुरक्षा का एक या दूसरा तरीका चुनते हैं।

साधारण उपयोगकर्ता कैसे बनें? उन्हें क्या धमकी? क्या उन्हें वीपीएन की आवश्यकता है?

इन सवालों के जवाब के लिए, एक साधारण परीक्षण बेंच को वाई-फाई एक्सेस प्वाइंट और ट्रैफ़िक विश्लेषक के साथ इकट्ठा करना पर्याप्त है। परिणाम बहुत मनोरंजक होगा।

हैकर हथियार के रूप में, हम एक अंतर्निहित वाई-फाई एडाप्टर के साथ एक नियमित कंप्यूटर लेते हैं। पहुंच बिंदु चालू करें, मैंने hostapd और dhcp3 उपयोग किया। स्थापना और कॉन्फ़िगरेशन ( एक , दो , तीन ) पर बहुत सारे विवरण हैं। हम गेटवे को इंटरनेट से कॉन्फ़िगर करते हैं। उसके बाद, Wireshark स्थापित करें, वायरलेस इंटरफ़ेस पर ट्रैफ़िक पर कब्जा शुरू करें। हम एक मोबाइल डिवाइस को एक्सेस प्वाइंट से कनेक्ट करते हैं, मेरे मामले में एक आईपैड। हम एक कैफे में एक मुफ्त पहुंच बिंदु और मोबाइल डिवाइस के साथ एक आराम से आगंतुक का अनुकरण करते हैं।

इस लेख में, हम HTTPS ट्रैफ़िक को समाप्‍त और सम्‍मिलित करने वाले प्रमाणपत्र का उपयोग नहीं करेंगे, लेकिन HTTP को वायरटैप करने के सबसे सरल मामलों पर विचार करें। नीचे दिए गए डंप में सभी व्यक्तिगत डेटा को बदल दिया गया है।

सभी "प्यारे" VKontaktika (vk.com) के साथ शुरू करते हैं। कनेक्ट करते समय हम उपयोगकर्ता ट्रैफ़िक को देखते हैं:

 GET /login?role=fast&to=&s=1&__q_hash=bd8b2282f344a97ebe12b0c485952a6f HTTP/1.1 Host: m.vk.com Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Referer: http://m.vk.com/login?role=fast&to=&s=1&m=1&email=mail%40yandex.ru User-Agent: Mozilla/5.0 (iPad; CPU OS 6_1_3 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) CriOS/26.0.1410.53 Mobile/10B329 Safari/8536.25 Accept-Encoding: gzip,deflate,sdch Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.6,en;q=0.4 Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.3 Cookie: remixlang=0; remixmdevice=768/1024/2/!!!!!!; remixstid=267699470; remixmid=; remixsid=; remixsid6=; remixgid=; remixemail=; remixpass=; remixapi_sid=; remixpermit=; remixsslsid= 

क्लाइंट पर जावास्क्रिप्ट पासवर्ड की ओर से हैश की गणना करता है और इसे GET अनुरोध में भेजता है। उसके बाद, सर्वर रिडायरेक्ट करता है और कुकी सेट करता है:

 HTTP/1.1 302 Found Server: nginx/1.2.4 Date: Mon, 03 Jun 2013 16:56:02 GMT Content-Type: text/html; charset=windows-1251 Content-Length: 20 Connection: keep-alive X-Powered-By: PHP/3.332 Pragma: no-cache Cache-control: no-store P3P: CP="IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT" Set-Cookie: remixsid=c04f7b2295b3b54405205a4306d6511c6cd9857f33249c004121c; expires=Wed, 11-Jun-2014 05:01:34 GMT; path=/; domain=.vk.com Set-Cookie: remixtemp_sid=; expires=Sun, 25-May-2014 15:48:33 GMT; path=/; domain=.vk.com Location: / Content-Encoding: gzip 

फिर क्लाइंट कुकीज़ के हस्तांतरण के साथ रीडायरेक्ट लिंक में निर्दिष्ट पर जाता है

 GET / HTTP/1.1 Host: m.vk.com Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Referer: http://m.vk.com/login?role=fast&to=&s=1&m=1&email=mail%40yandex.ru User-Agent: Mozilla/5.0 (iPad; CPU OS 6_1_3 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) CriOS/26.0.1410.53 Mobile/10B329 Safari/8536.25 Accept-Encoding: gzip,deflate,sdch Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.6,en;q=0.4 Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.3 Cookie: remixlang=0; remixmdevice=768/1024/2/!!!!!!; remixstid=267699470; remixmid=; remixsid6=; remixgid=; remixemail=; remixpass=; remixapi_sid=; remixpermit=; remixsslsid=; remixsid=c04f7b5995b3b54405205a4306d6511c6cd9558f33249c004121c; remixtemp_sid= 

यह इस उपयोगकर्ता के उपयोगकर्ता नाम के तहत "हैकर" में लॉग इन करने के लिए पर्याप्त है। हम कुकीज़ सेट करने के लिए कोई भी प्लगइन लेते हैं (मैंने FF के लिए कुकीज़ प्रबंधक + का उपयोग किया), remixsid लिए अंतिम डंप से remixlang , remixstid , remixsid को remixstid , लिंक vk.com/login?role=fast=to=&s=1&__q_hash=bd8b2282f344aBeBe0712bebe0012bbe120be120bb120b1212bb12 पर देखें। - आप उपयोगकर्ता के फ़ीड में हैं

शायद iPhone / iPad के लिए VKontakte एप्लिकेशन एक सुरक्षित कनेक्शन का उपयोग करता है? नहीं, यह नहीं है। ट्रैफ़िक विश्लेषक HTTP POST अनुरोधों को एपीआई को दिखाता है:

 POST /method/execute HTTP/1.1 Host: api.vk.com Accept-Encoding: gzip Content-Type: application/x-www-form-urlencoded; charset=utf-8 Content-Length: 266 Connection: keep-alive Cookie: remixdt=-10800; remixrt=1; remixlang=3 User-Agent: 2.3.11 rv:10037 (iPad; iPhone OS 6.1.3; nb_NO) code=var%20messages%20%3D%20API.messages.get%28%7Bfilters%3A1%7D%29%3B%20return%20%7Bunread%3Amessages%5B0%5D%7D%3B&api_id=2753915&access_token=ac43d874bd29351e2e2b20b0c671029edc84a48a715f97721111568443b5ba42f00a349b95f692e5727ec&sig=cb7ac6c6346bd26b762929efe0f711d1 

access_token पैरामीटर कुछ ऐसा है जिसका उपयोग प्राधिकरण के लिए एक अलग नाम के तहत किया जा सकता है।

यह पता चला है कि वीकेकंटे प्रशंसकों के लिए केवल एचटीटीपीएस के माध्यम से कनेक्ट करना उचित है, लेकिन वीकेनटैक सर्वरों पर एचटीटीपी से एचटीटीपीएस के लिए मजबूर पुनर्निर्देशन सक्रिय नहीं है। इसके अलावा, Apple iOS के लिए एप्लिकेशन HTTP का उपयोग करता है, यहां खतरा निरंतर है। वीपीएन के बिना, अज्ञात नेटवर्क से कनेक्ट करना बहुत जोखिम भरा है।

हम आगे देखते हैं। LiveJournal (livejournal.com) रचनात्मक बुद्धिजीवियों, डिजाइनरों और विपक्षों के बीच बहुत लोकप्रिय है। LJ में कुछ ब्लॉगिंग के लिए कमाई का मुख्य साधन है। हम अपने खाते के तहत एक मोबाइल डिवाइस से LiveJournal वेबसाइट पर जाते हैं, हम अपने "हैकर" गेटवे पर ट्रैफ़िक देखते हैं।

 GET / HTTP/1.1 Host: www.livejournal.com Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 User-Agent: Mozilla/5.0 (iPad; CPU OS 6_1_3 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) CriOS/26.0.1410.53 Mobile/10B329 Safari/8536.25 Accept-Encoding: gzip,deflate,sdch Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.6,en;q=0.4 Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.3 Cookie: ljuniq=EQwqgJzEJVk0mqr%3A1370276381%3Apgstats0; ljmastersession=v2:u12213803:s119:a68UFciy4PP:g398155211a6adc80bc47746a28dbcb9146b6a257//1; ljloggedin=v2:u12213003:s119:t1370286730:gb4fd54e13950d47f0940aa78f3de73582ebd4c64; BMLschemepref=horizon; langpref=ru/1370272950; ljsession=v1:u12213803:s119:t1370275200:gf1c7f737342bcb5759c70a257cbf97acc9512731//1; PRUM_EPISODES=s=1370747384764&r=http%3A//www.livejournal.com/; __utma=48425145.515596637.1370276682.1370276682.1370281850.2; __utmb=48425145.1.10.1370281850; __utmc=48425145; __utmz=48425145.1370276682.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none) 

यह सब है, हमारे पास अनधिकृत कनेक्शन के लिए सभी डेटा हैं। यह ljsession ljuniq , ljmastersession , ljloggedin और ljsession लिए कुकीज़ सेट करने के लिए पर्याप्त ljsession । उसके बाद, साहसपूर्वक livejournal.com पर जाएं और पीड़ित की ओर से एक पोस्ट लिखें।

और इसलिए लगभग सभी सेवाओं के लिए जो उपयोगकर्ता प्राधिकरण प्रक्रिया के दौरान HTTP का उपयोग करते हैं।

Facebook, Twitter, Github, LinkedIn - अपने संसाधन प्राधिकरण पर केवल HTTPS के माध्यम से किया जाता है। वही जीमेल और यैंडेक्स मेल सिस्टम के लिए जाता है। गंभीर कंपनियां अपने उपयोगकर्ताओं के डेटा की सुरक्षा के बारे में गंभीरता से सोचने लगी हैं।

हालांकि यांडेक्स के साथ एक समस्या है। हम मोबाइल डिवाइस से partner.yandex.ru पर जाते हैं। हम प्रवेश द्वार पर यातायात को देखते हैं। लॉगिन प्रक्रिया में, passport.yandex.ru के लिए एक संक्रमण होता है, प्राधिकरण HTTPS के माध्यम से जाता है, कुकीज़ सेट की जाती हैं, लेकिन फिर पहले से सेट कुकीज़ के साथ partner.yandex.ru/registered पर पुनर्निर्देशन किया जाता है।

 GET /registered HTTP/1.1 Host: partner.yandex.ru Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 User-Agent: Mozilla/5.0 (iPad; CPU OS 6_1_3 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) CriOS/26.0.1410.53 Mobile/10B329 Safari/8536.25 Accept-Encoding: gzip,deflate,sdch Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.6,en;q=0.4 Accept-Charset: windows-1251,utf-8;q=0.7,*;q=0.3 Cookie: yandexuid=9257588111370282489; _ym_visorc=b; ys=udn.bXRzLZ1heA%3D%3D; yp=1685643738.udn.bXRzLW1heA%3D%3D; yandex_login=mail; my=YzYBSQA=; L=X3MKVQFiRwt/Ql9afF5hfnZBbwBCeHkXUypkHiQcHkwyOwFcRjh9JnMzKT0GXD0NSDVcdEMCUUB4XyEDqhpbNQ==.1620283888.9752.254668.6b58de4c285c135c1273a411170dba5c; Session_id=2:1685643738.-875.0.1121887.8:1370283888922:1422936785:15.0.1.1.0.73736.1393.a9075755a24d0d44ef3f216256625665 

ठीक है, तो सब कुछ उदास है, yandexuid , ys , yp , yandex_login , my , L , Session_id yp , yandex_login yp / yandex_login और संबद्ध प्रोग्राम के व्यवस्थापक के कंसोल देखें। मेल सहित अन्य सभी यैंडेक्स सेवाएं भी उपलब्ध हैं।

ऐसे मामलों के लिए, सबसे अच्छा विकल्प मोबाइल उपकरणों पर एक वीपीएन का उपयोग करना है। किसी भी आउटगोइंग ट्रैफ़िक के लिए वीपीएन के लिए स्वचालित कनेक्शन के साथ समाधान चुनना बेहद उचित है। IOS उपकरणों के लिए, इस तकनीक को Android उपकरणों के लिए वीपीएन-ऑन-डिमांड कहा जाता है - ऑलवेज-ऑन वीपीएन।



"हैकर" के लिए सभी वीपीएन ट्रैफ़िक बहुत उबाऊ और नीरस लगता है, कुछ इस तरह:

 No. Time Source Destination Protocol Info 95 7.372487 10.0.1.200 109.233.59.108 ESP ESP (SPI=0xc6ed086f) Frame 95 (126 bytes on wire, 126 bytes captured) Ethernet II, Src: 7c:fa:df:cb:d3:89 (7c:fa:df:cb:d3:89), Dst: HonHaiPr_23:f0:9a (0c:60:76:23:f0:9a) Internet Protocol, Src: 10.0.1.200 (10.0.1.200), Dst: 109.233.59.108 (109.233.59.108) Version: 4 Header length: 20 bytes Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00) 0000 00.. = Differentiated Services Codepoint: Default (0x00) .... ..0. = ECN-Capable Transport (ECT): 0 .... ...0 = ECN-CE: 0 Total Length: 112 Identification: 0x38cd (14541) Flags: 0x00 Fragment offset: 0 Time to live: 64 Protocol: UDP (0x11) Header checksum: 0x8c93 [correct] [Good: True] [Bad : False] Source: 10.0.1.200 (10.0.1.200) Destination: 109.233.59.108 (109.233.59.108) User Datagram Protocol, Src Port: ipsec-nat-t (4500), Dst Port: ipsec-nat-t (4500) Source port: ipsec-nat-t (4500) Destination port: ipsec-nat-t (4500) Length: 92 Checksum: 0x0000 (none) Good Checksum: False Bad Checksum: False UDP Encapsulation of IPsec Packets Encapsulating Security Payload ESP SPI: 0xc6ed086f ESP Sequence: 54 

वीपीएन का एक अतिरिक्त लाभ उन पतों का छिपाना है जो उपयोगकर्ता ने दौरा किया था। श्रोता के लिए, किसी भी जानकारी, यहां तक ​​कि विज़िट का इतिहास भी, उपयोगकर्ता पर आगे के हमलों के लिए उपयोगी हो सकता है। यदि कनेक्शन वीपीएन के माध्यम से है, तो ऐसी जानकारी उपलब्ध नहीं है।

सर्वर व्यवस्थापकों के लिए HTTPS पृष्ठों पर सभी प्राधिकरण फ़ॉर्म रखना उचित है। यह अतिरिक्त रूप से अनुशंसा की जाती है कि आप सर्वर प्रतिक्रियाओं के लिए एक लंबी वैधता अवधि के साथ एक सख्त परिवहन-सुरक्षा हेडर जोड़ते हैं। यह ऊपर वर्णित स्थिति से बचा जाएगा।

यह पता चला है कि सबसे आम उपयोगकर्ताओं को वीपीएन-आधारित समाधान की आवश्यकता है।

मेरे दृष्टिकोण से, OpenVPN या IPSec पर आधारित समाधान का सबसे सुविधाजनक और न्यायसंगत उपयोग। OpenVPN लगभग सभी प्लेटफार्मों पर काम करता है, लेकिन इसके लिए मोबाइल डिवाइस पर थर्ड-पार्टी एप्लिकेशन की स्थापना की आवश्यकता होती है। IPSec समर्थन सबसे लोकप्रिय मोबाइल प्लेटफार्मों की बुनियादी कार्यक्षमता में बनाया गया है। Apple iOS में कॉन्फ़िगरेशन प्रोफ़ाइल के लिए समर्थन है; वीपीएन सेटअप डिवाइस पर एक प्रोफ़ाइल स्थापित करने के लिए उबलता है। मैंने पिछले लेख में इसके बारे में लिखा था।

मेरा ruVPN.net प्रोजेक्ट विशेष रूप से ऊपर वर्णित खतरों से बचाने के लिए बनाया गया था। जून से, स्वचालित कनेक्शन समर्थन (वीपीएन-ऑन-डिमांड) के साथ ऐप्पल आईओएस उपकरणों (आईफोन, आईपैड) के लिए वीपीएन बुनियादी ढांचे का वाणिज्यिक संचालन शुरू हुआ। कनेक्ट करें , मित्रों को आमंत्रित करें। अपने डेटा की सुरक्षा की उपेक्षा न करें!