Jou VPN-poort is gekompromitteer: wat werklik blootgestel is
’n Gekraakte VPN-poort sien binne sy eie tonnel, maar dit beteken nie elke sessie word oorgeneem nie. Skei verkeer, bereikbaarheid en gestoorde geheime voordat jy herstel.
’n VPN-poort staan aan die einde van die tonnel wat dit beskerm, wat beteken dat dit daardie enkripsie termineer eerder as om dit deur te laat. As ’n aanvaller die gasheer beheer, lyk die tonnel van buite steeds gesond terwyl die masjien in die middel nie meer vertrou kan word nie. Die nuttige vraag is nie of alles gedekripteer word nie. Dit is wat daardie gasheer kon sien, wat dit kon bereik, en watter geheime werklik daar gestoor was. Daardie drie antwoorde verskil baie, en die reaksie verskil saam met hulle.
Die poort termineer die tonnel, dus sien hy binne-in
Enkripsie in ’n VPN werk hop vir hop, en die poort is die hop. Dit stroop die buitenste laag af, pas beleid toe en stuur die binneste pakket aan, so elke vervoerde pakket bestaan op een of ander stadium in leesbare vorm in daardie gasheer se geheue. Dit is die ontwerp eerder as ’n fout. Dit is ook waarom kompromittering van die poort ’n ander gebeurtenis is as kompromittering van die tonnel se kriptografie.
Wat die aanvaller eerste kry, is posisie: die vermoë om vervoerde verkeer waar te neem, aanstuur te verander, of in die plek van ’n backend te antwoord. Wat hulle volgende kry, hang van die gasheer af, en dit is waar mense oorskat. Bloot toegang tot die poort gee nie ’n blaaier se TLS-sessiesleutels oor nie, want dié was nooit op die poort nie.
Drie blootstellings wat nie ewe groot is nie
Verdeel die vraag in vervoerde verkeer, bereikbare stelsels en gestoorde geheime, en beantwoord elkeen op sy eie.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Die middelste ry is die een wat oorgeslaan word. ’n Poort het gewoonlik ’n roete na private netwerke en ’n bronadres wat die backends reeds vertrou, so die interessante vraag is wat daardie backends vanaf daardie adres toelaat. ’n Noue kliënttoegangsbeleid is ’n goeie beheer, maar ’n aanvaller op die gasheer is nie beperk tot die koppelvlak wat ’n normale kliënt sou gebruik nie.
Die onderste ry bepaal hoe lank die voorval duur. ’n Bediener-sleutel en ’n CA-sleutel het heeltemal verskillende trefreekse, en so ook ’n plaaslike admin-rekening en ’n lees-alleen moniteringstoken.
HTTPS binne die tonnel is steeds HTTPS
Toepassing-TLS termineer by die toepassing, nie by die VPN-poort nie, so ’n gekompromitteerde poort waarneem syferteks vir daardie vloei. Dit is ’n werklike beperking op wat die aanvaller kry, en dit is die moeite werd om dit duidelik te sê, want die teenoorgestelde bewering versprei paniek en slegte besluite. Twee toestande breek dit. As ’n inspeksiekomponent met ’n vertroude sertifikaat in die pad sit, kan die poort ontwerpmatig gewone teks sien. As die toepassing se eindpunt self gekompromitteer is, is die tonnel irrelevant.
Dus is die antwoord op wat hulle gesien het voorwaardelik, en dit moet as voorwaardes neergeskryf word eerder as as ’n uitspraak aangekondig word.
Wat moet verander voordat jy dit weer vertrou
Om die gasheer te herbou is nodig en selde genoeg. ’n Aanvaller wat steeds ’n bestuursrekening, ’n ontplooiingsgeloofsbrief of ’n ondertekeningsleutel het, kan die gasheer terugplaas soos hulle dit wil hê. Herstel moet begin by ’n administrasiepad wat nie van die gekompromitteerde masjien afhanklik is nie.
Maak ’n inventaris van wat daarop was voordat jy besluit wat om te roteer. Sleutels, diensrekeninge, API-tokens, plaaslike gebruikers, geskeduleerde take, vertrouensverhoudings en die ontplooiingspyplyn is almal kandidate, en elkeen het ’n eienaar wat dit moet bevestig.
ss -lntup
getent passwd
crontab -l
ip route show table allDaardie lys is die vinnigste manier om te sien wat die gasheer aangebied het en waar dit kon kom. Bewaar eers die bewyse, onder die reaksie-eienaar se proses, want ’n herbou vernietig juis wat ’n ondersoek nodig het. NIST SP 800-61 Hersiening 3 behandel voorbereiding, opsporing, reaksie en herstel as dele van een risikoproses eerder as as ’n herbegin-opdrag.
Grense wat die volgende een goedkoper maak
Vier grense is die moeite werd om te bou voordat jy hulle nodig het. Hou ’n onafhanklike herstelpad wat nie deur die poort verifieer nie. Hou ondertekeningsgesag apart van die gasheer wat verkeer diens. Beperk wat die poort kan bereik, sodat ’n gekompromitteerde poort nie outomaties ’n gekompromitteerde bestuursnetwerk is nie. En teken aan wie elke geloofsbrief besit, sodat rotasie ’n telefoonoproep is in plaas van ’n argeologieprojek.
Nie een van hierdie verhoed kompromittering nie. Hulle begrens dit, en hulle maak die verskil tussen ’n slegte week en ’n slegte kwartaal.