Bu zəiflik tapıntısı hansı VPN prosesinə aiddir?

Skaner nəticəsi bir ünvan, port və orada razılaşdırılmış bir şeyi adlandırır. O, bu soketin arxasındakı prosesi adlandırmır və VPN hostunda bir neçə proses maşını paylaşa bilər, halbuki onlardan yalnız biri tuneldir. Yan yardım proqramından versiya sətrini oxumaq və ya diskdə kitabxana faylı tapmaq host haqqında, dinləyici haqqında deyil, sübut əlavə edir. Tapıntı yalnız bir işləyən komponentə bağlandıqdan və sonra xəbərdarlığın həqiqətən bildirdiyi əhatə dairəsinə uyğunlaşdırıldıqdan sonra tədbirə çevrilir.

Sıra vacibdir: əvvəlcə komponent, ikinci xəbərdarlıq, üçüncü düzəliş.

Hesabat proqramı deyil, portu adlandırır

Faktiki qiymətləndirilən son nöqtədən başlayın. HTTPS idarəetmə portuna qarşı sınaq veb xidmətini, onun TLS yığınını və qarşısında duran hər hansı proksini ölçdü; fərqli portdakı OpenVPN və ya WireGuard dinləyicisi haqqında heç nə öyrənmədi. Əks proksilər və idarəetmə agentləri bunu daha da pisləşdirir, çünki sertifikat və banner ön hissəyə aid ola bilər, zəif kitabxana isə arxa prosesdə onun arxasında yerləşir.

Təyinatı, nəqli, portu və xidmət adını nəticə ilə birlikdə qeyd edin ki, əhatə dairəsi tapıntı ilə birlikdə getsin.

İşləyən buraxılış əslində nədir

Ümumi təyinatlı hostda quraşdırılmış paket və yüklənmiş kitabxana ayrı məsələlərdir. Paket verilənlər bazası düzəldilmiş versiyanı göstərə bilər, halbuki uzun müddət işləyən daemon köhnə paylaşılan obyekti hələ də yaddaşda saxlayır və birləşdirilmiş cihaz obrazı heç bir paket menecerinin bildirmədiyi öz kitabxanalarını daşıya bilər. Xidmət menecerindən nəyin işlədiyini soruşun, sonra prosesi və onun əlaqələrini yoxlayın.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Proses siyahısındakı başlama vaxtı insanların atladığı detaldır. Son paket yeniləməsindən əvvəl başlamış daemon hələ də açılışda yüklədiyi buraxılışla işləyir və bu, inventarın düzəldildi dediyi, soketin isə əksini dediyi halla üst-üstə düşür.

Buraxılışı xəbərdarlığın əhatə dairəsi ilə uyğunlaşdırmaq

Xəbərdarlıqlar məhsulları, versiyaları və bəzən tələb olunan şərtləri təsvir edir və bu üç sahə həmişə paket versiyası ilə üst-üstə düşmür. OpenVPN-in aprel 2014-cü il Heartbleed xəbərdarlığı faydalı tarixi nümunədir, çünki təsirlənən Access Server buraxılışlarını fərqli məruz qalmaya malik veb xidmətlərindən və VPN daemonlarından ayırır. Dərs OpenSSL sözünü şablonla uyğunlaşdırmaq əvəzinə mətnin hansı komponenti əhatə etdiyini oxumaqdır.

Həmin xəbərdarlıq da köhnəlmişdir. Onun düzəldilmiş buraxılış nömrələri artıq quraşdırma tövsiyəsi deyil və 2014-cü ildə düzəldilmiş qüsur bugün işlətdiyiniz budaqdakı sonrakı problemlər haqqında heç nə demir.

Fikir ayrılığını həll etmək, sonra məruz qalmanı bağlamaq

İnventar və qiymətləndirmə ziddiyyət təşkil etdikdə, hər ikisinin eyni son nöqtəni və iş mühitini təsvir edib-etmədiyini yoxlayın: başqa ünvan, ön proksi, ikinci xidmət, hələ də porta bağlı köhnə proses və ya paket menecerinin heç görmədiyi birləşdirilmiş kitabxana. Hesabatı yenidən yazmazdan əvvəl bunu sərhəddə həll edin.

Dəstəklənən düzəlişi tətbiq edin, təsirlənən xidməti yenidən başladın və yeni buraxılışın indi işləyən olduğunu təsdiqləyin. Diskdə düzəldilmiş fayl, köhnə proses hələ də trafiki xidmət edərkən, düzəliş deyil.

Sonra komponentin məruz qalma pəncərəsi ərzində saxlaya biləcəyi şeylərlə məşğul olun. Düzəltmə və etimadnamələrin dəyişdirilməsi fərqli suallara cavab verir və təsirlənən hostun yaxınlığında saxlanan sertifikat özlüyündə nəyin sızdığının siyahısı deyil. İnsident sahibinin ləğv, sessiya silinməsi və müştəri yeniləmələri üzrə prosedurunu izləyin və hansı komponentin təsirləndiyini, sübutun niyə uyğun olduğunu və nəyin onu bağladığını qeyd edin. Sonrakı baxışın oxuyacağı qeyd budur.