今日、長年使っているEdgeRouterがときどきハングしたり、勝手にリブートしたりするようになった。
発売直後から使っているので、さすがにコンデンサが懐妊かな寿命かな、と思ってログを調べていたら、こんなのが大量に出ていた。
pppd: No CHAP secret found for authenticating admin
pptpd: GRE: read(…) from PTY failed: Input/output error
PPTP？
……そういえば、昔、海外の会社にいたころ、外からホームラボへ接続するためにPPTPを使っていた。
その後、VPNは別の方式へ移行したのだが、PPTPサーバだけ止めるのを忘れていた。
そして何年もインターネットに向けて開けっぱなし。
これは危ない。
今となってはPPTPを標準でサポートしているクライアントOSを探す方が難しい。L2TP/IPsecですら、自分の環境ではほぼ使わなくなった。
現在はWireGuardとTailscaleでだいたい間に合っている。Tailscaleもデータプレーンの中心はWireGuardだ。
つまり、
自分ですら使えないPPTPサーバを、攻撃者のためだけにインターネットへ公開していた。
何をやっているんだ、という話である。
EdgeRouter本体には過去ログがあまり残らないので調べにくい。ところが、昔の自分はちゃんとSyslogサーバへログを飛ばす設定をしていた。
昔の自分、PPTPを消し忘れていた一方で、Syslogだけはちゃんと設定していた。
おかげで過去まで遡って調べることができた。
で、どんなユーザー名で攻撃してくるのか
ログから、PPTP認証で試されたユーザー名を抜き出してみた。
すると、
admin
administrator
guest
test
user
vpn
ftpuser
student
supervisor
まあ、この辺は分かる。
さらに、
chen
feng
guo
han
huang
hui
liang
luo
meng
miao
shen
song
tian
wu
xiao
yang
yao
zhang
中国語圏の姓・名前らしきものも結構ある。
そして大量の、
12345678a
1q2w3e4r
1qaz2wsx
qwe123
asdfgh
password1
P@ssw0rd
……分かる。非常によく分かる。
あとは
AM-PM-2M-PM-3M-QM-^CM-QM-^AM-QM-^BM-PM-5M-PM-9M-QM-^HM-PM-8M-PM-92016
AM-PM-2M-PM-3M-QM-^CM-QM-^AM-QM-^BM-PM-5M-PM-9M-QM-^HM-PM-8M-PM-92017
AM-PM-?M-QM-^@M-PM-5M-PM-;M-QM-^L2017
M-PM-!M-PM-2M-PM-5M-QM-^@M-QM-^EM-QM-^GM-PM-5M-PM-;M-PM->M-PM-2M-PM-5M-PM-:2017
M-PM-^XM-PM-8M-QM-^AM-QM-^CM-QM-^A2017
文字化け系とかもある。
ところが、日本人名らしきものが一つもない。
アクセス元は日本のIPアドレス、日本のASNなのに。
もうちょっと頭を使ってほしい。
teshigawara
ayanokouji
くらい試してみたらどうなんだ。
いや、
sato、suzuki、tanaka より先に teshigawara を試す攻撃者がいたら、それはそれで怖いけど。そもそも日本人は、そんなユーザー名を付けるのか
ここでもう一つ思った。
企業や学校のアカウントならともかく、個人宅のEdgeRouterで、
admin
administrator
supervisor
student
ftpuser
みたいなVPNユーザーを作る日本人が、どのくらいいるのだろう。
企業でもこんなベタなのをつけないと思う。
ホームラボなら、
hoge
hogeadmin
hogezou
とか、ハンドル名とか、メールアドレス由来とか、そんなものになることが多い気がする。
もちろん攻撃側からすれば、そんなことはどうでもいい。
大量のIPアドレスに対して、
admin / password
admin / 123456
test / test
user / password
…
を機械的に投げ続け、100万台に1台でも刺さればいい。
だから、この辞書が雑なのは当然でもある。
でも逆に考えると、
こんな雑な辞書攻撃で侵入された機器が実際に存在するなら、そっちの方がかなりまずい。
admin / admin でVPNに入れてしまった、みたいな話になる。一番怖かったのは攻撃そのものではなかった
今回、一番反省したのはPPTPに攻撃が来ていたことではない。
インターネットにサービスを公開すれば、スキャンも辞書攻撃も来る。それ自体は珍しくない。
怖かったのは、
自分が存在を忘れていたサービスが、今もちゃんと外から利用可能だったこと。
だった。
昔必要だった。
その後使わなくなった。
設定はそのまま。
何年か経つ。
本人は存在を忘れる。
攻撃者だけが覚えている。
これが一番よくない。
PPTPを止めたら、延々出続けていた
pppd と pptpd のログも消えた。EdgeRouterも少し静かになった。
そして設定を見直していると、PPTP関連以外にも、
「これ、今となっては何のために設定したんだっけ？」
というものが出てくる。
ネットワーク機器は長く使える。
だからこそ、10年前の自分が作った設定が、10年後の自分に攻撃面をプレゼントしてくれる。
古い機器より、古い設定の方が怖い。
うーん、それにしても。。。夕ご飯の後、これで時間が潰れてしまった。