هل أنت متأثر بـ CVE-2019-14899؟ قائمة تحقق للنواة

يكتشف أحد الماسحات CVE-2019-14899 على جهاز شغّل VPN لسنوات، فتكون الغريزة الأولى اتهام الـ VPN بالعطل. هذا إطار خاطئ. فالمشكلة المعلنة تتعلق بمهاجم موجود على الشبكة المحلية للضحية يستنتج معلومات عن اتصالات TCP معينة، وليس بموقع ويب يفك تشفير النفق الخاص بك.

راجع الفحوص الأربعة أدناه بالترتيب. كل فحص إما يضيّق المشكلة أو ينهي التحقيق.

الفحص 1: هل تشمل الاستشارة نواتك

ابحث في سجل توزيعتك نفسه، لا في ملخص مدونة يذكر تاريخ إصدار. تعرض صفحة أمن Ubuntu لهذه الثغرة حزمة linux العامة لإصدار 18.04 LTS بوصفها مصابة مع تأجيل الإصلاح، وتتابع حزم نواة أخرى في صفوف منفصلة. طابق الإصدار الذي تعمل به وحزمة النواة مع الصف الصحيح. رقم إصدار يبدو مألوفًا ليس مطابقة.

نتيجة الماسح تعني أن المعرّف ينطبق على شيء في جردك. وهي لا تعني أن جهازًا مجاورًا استغل الجهاز.

الفحص 2: من هو المهاجم في النموذج

يفترض نموذج التهديد مهاجمًا مجاورًا يستطيع التفاعل مع شبكة وصول الضحية. هذا موقع محدد، وليس خدمة بعيدة عشوائية لا تحب عقدة الخروج لديك. إذا كان المستخدمون يتصلون من مقهى فالافتراض واقعي؛ وإذا كانوا خلف شبكة محلية مؤسسية مُدارة فالمسألة نقاش آخر.

أبقِ سؤال الثقة في الشبكة المحلية مفتوحًا حتى عندما يكون النفق مشفرًا. فالتشفير يجيب عن سؤال مختلف عن سؤال الجوار.

الفحص 3: على أي طبقة تعتمد

يوفر HTTPS المُتحقق منه بشكل صحيح حماية خاصة به لسجلات التطبيق، ويصادق TLS 1.3 على تلك البيانات من طرف إلى طرف. لكنه لا يعد بأن المهاجم لا يستطيع قطع اتصال TCP الأساسي. لذا قد يكون التطبيق آمنًا للقراءة بينما يبقى قابلًا للتعطيل، والتعطيل ليس النتيجة نفسها التي هي الكشف. افصل بين الأمرين قبل تقييم الخطر.

هذا التمييز مهم للتقرير. فهو يحول عبارة غامضة بأن الـ VPN غير آمن إلى بيان محدد عما يستطيع مهاجم مجاور ملاحظته أو قطعه.

الفحص 4: أي تخفيف طبّقته فعلًا

تناقش الاستشارة تخفيفات التوجيه والتصفية وهي صريحة في حدودها، بما في ذلك تصفية المسار العكسي والمسارات غير المتماثلة. لا تلصق قيمة sysctl واحدة على كل مضيف VPN وتعلن أن المشكلة حُلت. فتصفية المسار العكسي تتفاعل مع التوجيه، وقد تكسر قيمة تفيد بنية شبكية بنية أخرى.

التحقق أمر تنفيذي، لا مربع اختيار. يعرض sysctl net.ipv4.conf.all.rp_filter القيمة العامة، ويعرض sysctl net.ipv4.conf.tun0.rp_filter القيمة الخاصة بالواجهة التي تنطبق فعلًا. اقرأ الاثنين قبل أي تغيير وبعده.

استخدم إرشادات التوزيعة وتصميم التوجيه الخاص بك، ثم أكّد الإعداد على الواجهة التي تحمل النفق، لا في ملف لم يحمله أحد.

ما ينبغي تدوينه

سجّل افتراض المهاجم المجاور، وحزمة النواة العاملة، وصف الاستشارة الذي طابقته، والتخفيف الذي طبّقته وأين طُبّق، وحمايات التطبيق القائمة. وأضف تاريخ فحصك للاستشارة، لأن تلك الصفحات تتغير. هذا المزيج تقييم قابل للدفاع عنه.

تاريخ إصدار نظام تشغيل واتصال VPN عامل ليسا تقييمًا. إنهما حقيقتان يسهل جمعهما بالمصادفة.