TunnelCrack مقابل TunnelVision: ما الذي يكسره كل منهما فعلاً

يُستخدم اسمان بحثيان بالتبادل للإشارة إلى أي حركة VPN تغادر النفق، لكن الآليات الكامنة وراءهما ليست واحدة. يصف TunnelCrack عائلتين من استثناءات التوجيه، بينما يصف TunnelVision مساراً يوفّره DHCP على الجهاز الطرفي. لا يكسر أي منهما التشفير، ولا يخبرك أي منهما بما تفعله نسخة عميل محددة اليوم. هناك خمسة فحوص تفصل الآليات عن العناوين الصحفية.

الخطوة الأولى: سمِّ الآلية التي تراجعها

يكشف إفصاح TunnelCrack الصادر في أغسطس 2023 عن عائلتين من الهجمات. في حالة الشبكة المحلية، تأخذ الحركة التي يعتبرها العميل تابعة للشبكة المحلية استثناء وصول محلي وتغادر النفق. وفي حالة عنوان الخادم، يكون المسار الذي يحتاجه العميل للوصول إلى خادم VPN نفسه خارج النفق، ويمكن لخصم يتحكم بذلك العنوان أن يستغل الاستثناء.

TunnelVision تقرير منفصل عن المسارات الساكنة غير المصنّفة التي يسلّمها DHCP. يمكن لخادم DHCP خبيث أن يمنح الجهاز الطرفي مسارات تغيّر المسار الذي تسلكه الحركة، بما في ذلك المسار نحو خادم VPN. ويعترف التقرير بأعمال سابقة حول تأثيرات توجيه ذات صلة، وهو ما يذكّر بأن الآلية الأساسية أقدم من الاسم.

أبقِ الأسماء مرتبطة بآلياتها. وتطبيق إصلاح لأحدهما لأن الآخر في الأخبار هو الطريقة التي تنتج بها المراجعة حركة دون تغطية.

الخطوة الثانية: انظر إلى استثناء الوصول المحلي

تُعفي معظم العملاء حركة الشبكة المحلية كي تبقى الطابعات والبث ومشاركة الملفات تعمل أثناء اشتغال النفق. هذا الاستثناء قرار سياسة له كلفة أمنية: يمكن لخصم على الشبكة نفسها أن يقدّم نفسه مضيفاً محلياً، والحركة التي تصل إليه لم تدخل النفق قط.

اسأل إن كان الملف الشخصي المنشور يحتاج الاستثناء أصلاً. القوى العاملة عن بُعد التي لا تستخدم الاكتشاف المحلي أبداً يمكنها غالباً إيقافه، ويمكن الوصول إلى الخدمات المحلية المتبقية عبر مسار موثّق بدلاً من ذلك. وحيث يكون الاستثناء مطلوباً، اذكر الوجهات التي يغطيها بدل وصفه بأنه حركة محلية.

الفحص سؤال إعدادات، لا التقاط حزم. اقرأ إعداد الملف الشخصي ووثائق العميل للنسخة التي تنشرها، لأن الوضع الافتراضي يختلف بين المنتجات وبين إصدارات المنتج نفسه. اكتب الجواب بجانب الملف الشخصي، كي لا يضطر المراجع التالي إلى استنتاجه من السلوك. والاستثناء الذي لم يوثّقه أحد هو استثناء لا يراجعه أحد.

الخطوة الثالثة: انظر كيف يُتعلَّم عنوان الخادم

على العميل الوصول إلى خادم VPN قبل وجود أي نفق، لذا يُوجَّه ذلك الوجه خارج النفق بحكم التصميم. وإذا كان العنوان يُستقى من اسم، فإن خطوة التحليل جزء من مسار الثقة، ويمكن لخصم قادر على الإجابة عن ذلك الاستعلام أن يوجّه العميل إلى مضيف يتحكم به.

تثبيت العنوان، واستخدام شهادة موثّقة بالاسم الصحيح، ورفض الرجوع إلى خادم غير موثّق، كلها تقلّل التعرّض. ولا يزيل أي منها الحاجة إلى الوصول إلى الخادم خارج النفق؛ إنها تغيّر من يستطيع الإجابة عن ذلك العنوان.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

يُظهر البحث عن المسار الواجهة التي سيستخدمها العميل لعنوان الخادم، وهو الاستثناء في صورته الملموسة. وإذا أعاد ذلك البحث واجهة النفق، فلا يمكن للعميل إنشاء النفق أصلاً، لذا يُتوقع مسار خارجي والسؤال هو فقط كيف يُختار وجهه.

الخطوة الرابعة: انظر إلى المسارات التي يوفّرها DHCP

تسمح المسارات الساكنة غير المصنّفة لخادم DHCP بتوزيع مدخلات جدول التوجيه، ويقبلها الجهاز الطرفي عموماً دون سؤال. وعلى شبكة يستطيع فيها خصم أن يجيب DHCP أسرع من الخادم الشرعي، قد تعيد تلك المدخلات توجيه حركة يظن المستخدم أنها داخل النفق.

قارن المسارات على الجهاز الطرفي بالمسارات التي تتوقعها. والمسار الافتراضي أو بادئة واسعة تشير إلى البوابة المحلية أثناء اشتغال النفق هي البصمة التي تستحق التحقيق، وهي مرئية دون أي حركة هجوم.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

الإعداد الأخير هو الضابط على جانب الجهاز الطرفي الذي تعرضه كثير من العملاء والمنصات بشكل ما: تجاهل المسارات التي توفرها الشبكة. وتعطيل قبول المسارات التلقائي مقايضة، لأنه يعطّل أيضاً التوجيه المنقسم الشرعي من خادم DHCP مؤسسي، لذا قرّره بحسب فئة الشبكة لا عالمياً.

الخطوة الخامسة: افصل الإفصاح عن النسخة الحالية

الهجوم المنشور يصف سلوكاً لوحظ على إصدارات عملاء معينة في وقت معين. وهو لا يثبت أن الحاسوب أمامك متأثر، ولا يثبت أنه مُصلَح. وكلا الادعاءين يحتاج رقم النسخة الفعلي والإفصاح الحالي للمورّد.

سجّل إصدار العميل والمنصة وإعدادات الملف الشخصي التي تحكم الاستثناءات أعلاه والتاريخ الذي فحصت فيه. ذلك السجل يقدم بشكل صادق، أما ملاحظة تقول إن VPN رُقّع بشأن TunnelCrack فلا. أعد قراءته كلما حدّث العميل، لأن الافتراضي في الملف الشخصي قد يتغير تحت إصدار لم تلمسه.

حين تتحقق فعلاً، استخدم خطة معتمدة على جهازك الطرفي نفسه ووجه غير ضار. إعادة إنتاج الهجوم ضد مستخدمين آخرين على شبكة مشتركة ليست اختباراً، وتعطيل تحقق الأقران أو تشفير التطبيق لتسهيل الملاحظة يزيل الحماية التي كنت تحاول قياسها.

أخيراً، أبقِ حماية مستوى التطبيق في الصورة. قد يكشف استثناء التوجيه حركة كان النفق سيحملها، بينما تشفير TLS في التطبيق ما زال يحمي تلك الحركة من طرف إلى طرف. تفشل الطبقتان بشكل مستقل، ولهذا فإن قناة تحكم متصلة ليست دليلاً على أن كل تدفق سلك المسار المقصود.