TunnelCrack teenoor TunnelVision: wat elkeen werklik breek

Twee navorsingsname word deurmekaar gebruik vir enige VPN-verkeer wat die tonnel verlaat, en die meganismes agter hulle is nie dieselfde nie. TunnelCrack beskryf twee families van roetering-uitsondering; TunnelVision beskryf 'n DHCP-gelewerde roete op die eindpunt. Nie een van hulle breek die enkripsie nie, en nie een van hulle sê vir jou wat 'n spesifieke kliëntbou vandag doen nie. Vyf kontroles skei die meganismes van die opskrif.

Stap een: noem die meganisme wat jy ondersoek

Die TunnelCrack-openbaarmaking van Augustus 2023 beskryf twee aanvalfamilies. In die plaaslike netwerk-geval neem verkeer wat die kliënt as deel van die plaaslike netwerk beskou, 'n plaaslike-toegang-uitsondering en verlaat die tonnel. In die bedieneradres-geval is die roete wat die kliënt nodig het om die VPN-bediener self te bereik, buite die tonnel, en 'n teenstander wat daardie adres beheer, kan die uitsondering misbruik.

TunnelVision is 'n aparte verslag oor klasselose statiese roetes wat deur DHCP gelewer word. 'n Kwaadwillige DHCP-bediener kan aan die eindpunt roetes gee wat verander watter pad verkeer neem, insluitend die pad na die VPN-bediener. Die verslag erken vroeëre werk oor verwante roeteringseffekte, wat 'n herinnering is dat die onderliggende meganisme ouer as die naam is.

Hou die name aan hul meganismes gekoppel. Om 'n regstelling vir een toe te pas omdat die ander in die nuus is, is hoe 'n ondersoek beweging sonder dekking oplewer.

Stap twee: kyk na die plaaslike-toegang-uitsondering

Die meeste kliënte maak plaaslike netwerkverkeer vry sodat drukkers, uitsaai en lêerdeling bly werk terwyl die tonnel aktief is. Daardie uitsondering is 'n beleidsbesluit met 'n sekuriteitskoste: 'n teenstander op dieselfde netwerk kan homself as 'n plaaslike gasheer voordoen, en die verkeer wat hom bereik, het nooit die tonnel binnegegaan nie.

Vra of die ontplooide profiel die uitsondering hoegenaamd nodig het. 'n Afstandswerkmag wat nooit plaaslike ontdekking gebruik nie, kan dit dikwels afskakel, en die oorblywende plaaslike dienste kan eerder deur 'n gedokumenteerde pad bereik word. Waar die uitsondering vereis word, sê watter bestemmings dit dek eerder as om dit as plaaslike verkeer te beskryf.

Die kontrole is 'n konfigurasievraag, nie 'n pakkiesopname nie. Lees die profielinstelling en die kliëntdokumentasie vir die bou wat jy ontplooi, want die verstek verskil tussen produkte en tussen weergawes van dieselfde produk. Skryf die antwoord langs die profiel, sodat die volgende keurder dit nie uit gedrag hoef af te lei nie. 'n Uitsondering wat niemand gedokumenteer het nie, is 'n uitsondering wat niemand hersien nie.

Stap drie: kyk hoe die bedieneradres geleer word

Die kliënt moet die VPN-bediener bereik voordat enige tonnel bestaan, so daardie bestemming word ontwerpmatig buite die tonnel geroteer. As die adres uit 'n naam geleer word, is die resolusiestap deel van die vertrouenspad, en 'n teenstander wat daardie navraag kan beantwoord, kan die kliënt na 'n gasheer wat hy beheer, wys.

Om die adres vas te pen, 'n geverifieerde sertifikaat met die korrekte naam te gebruik en te weier om na 'n ongeverifieerde bediener terug te val, verminder almal die blootstelling. Nie een van hulle verwyder die noodsaak om die bediener buite die tonnel te bereik nie; hulle verander wie vir daardie adres kan antwoord.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Die roetesoektog wys die koppelvlak wat die kliënt vir die bedieneradres sou gebruik, wat die uitsondering in konkrete vorm is. As daardie soektog die tonnelkoppelvlak teruggee, kan die kliënt nie eers die tonnel vestig nie, so 'n buite-roete word verwag en die vraag is net hoe die bestemming daarvan gekies word.

Stap vier: kyk na roetes wat DHCP lewer

Klasselose statiese roetes laat 'n DHCP-bediener roetebepaling-inskrywings uitdeel, en die eindpunt aanvaar hulle gewoonlik sonder om te vra. Op 'n netwerk waar 'n teenstander vinniger as die wettige bediener DHCP kan beantwoord, kan daardie inskrywings verkeer herlei wat die gebruiker glo binne die tonnel is.

Vergelyk die roetes op die eindpunt met die roetes wat jy verwag. 'n Verstekroete of 'n breë voorvoegsel wat na die plaaslike poort wys terwyl die tonnel aktief is, is die kenmerk wat die moeite werd is om te ondersoek, en dit is sigbaar sonder enige aanvalsverkeer.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Die laaste instelling is die beheer aan die eindpunt-kant wat baie kliënte en platforms in een of ander vorm blootstel: ignoreer roetes wat deur die netwerk gelewer word. Om outomatiese roete-aanvaarding te deaktiveer is 'n afweging, want dit deaktiveer ook wettige gesplete roetering van 'n korporatiewe DHCP-bediener, so besluit dit per netwerkkategorie eerder as globaal.

Stap vyf: skei die advies van die huidige bou

'n Gepubliseerde aanval beskryf gedrag wat op bepaalde kliëntweergawes op 'n bepaalde tydstip waargeneem is. Dit bewys nie dat die skootrekenaar voor jou geraak word nie, en dit bewys nie dat dit reggemaak is nie. Albei bewerings benodig die werklike bounommer en die verkoper se huidige advies.

Teken die kliëntweergawe, die platform, die profielinstellings wat die uitsonderings hierbo beheer, en die datum wat jy nagegaan het, aan. Daardie rekord verouder eerlik, terwyl 'n nota wat sê die VPN is vir TunnelCrack gepak, dit nie doen nie. Lees dit weer elke keer as die kliënt opdateer, want 'n profielverstek kan verander onder 'n weergawe waaraan jy nie geraak het nie.

Wanneer jy wel valideer, gebruik 'n goedgekeurde plan teen jou eie eindpunt en 'n onskadelike bestemming. Om die aanval teen ander gebruikers op 'n gedeelde netwerk te herproduseer is nie 'n toets nie, en om portuurverifikasie of toepassing-enkripsie af te skakel om 'n waarneming makliker te maak, verwyder die beskerming wat jy probeer meet.

Laastens, hou beskerming op toepassingsvlak in die prentjie. 'n Roetering-uitsondering kan verkeer blootstel wat die tonnel sou gedra het, en toepassing-TLS beskerm daardie verkeer steeds van punt tot punt. Die twee lae faal onafhanklik, daarom is 'n gekoppelde beheerkanaal nie bewys dat elke vloei die beoogde pad gevolg het nie.