Ці закранула вас CVE-2019-14899? Кантрольны спіс для ядра

Сканер паказвае CVE-2019-14899 на машыне, якая гадамі выкарыстоўвае VPN, і першая думка — абвінаваціць VPN. Гэта няправільная рамка. Агучаная праблема датычыцца зламысніка ў лакальнай сетцы ахвяры, які робіць высновы пра пэўныя злучэнні TCP, а не вэб-сайта, які расшыфроўвае ваш тунель.

Прайдзіце чатыры праверкі ніжэй па парадку. Кожная або звужае праблему, або спыняе расследаванне.

Праверка 1: ці ахоплівае паведамленне ваша ядро

Глядзіце ўласны запіс вашага дыстрыбутыва, а не пераказ даты выпуску з блога. Старонка бяспекі Ubuntu для гэтай CVE пералічвае агульны пакет linux для 18.04 LTS як уразлівы з адкладзеным выпраўленнем і вядзе іншыя пакеты ядра асобнымі радкамі. Супастаўце свой выпуск і пакет ядра з патрэбным радком. Знаёмы нумар версіі — не супадзенне.

Звестка ад сканера азначае, што ідэнтыфікатар датычыцца нечага ў вашым інвентары. Яна не азначае, што суседняя прылада скарысталася машынай.

Праверка 2: хто зламыснік у мадэлі

Мадэль пагрозы мяркуе суседняга зламысніка, які можа ўзаемадзейнічаць з сеткай доступу ахвяры. Гэта канкрэтная пазіцыя, а не адвольны аддалены сэрвіс, якому не падабаецца ваша кропка выхаду. Калі карыстальнікі падключаюцца з кавярні, дапушчэнне рэалістычнае; калі яны за кіраванай карпаратыўнай лакальнай сеткай, гэта іншая размова.

Пакідайце пытанне даверу да лакальнай сеткі адкрытым, нават калі тунель зашыфраваны. Шыфраванне адказвае на іншае пытанне, чым суседства.

Праверка 3: на які ўзровень вы спадзяецеся

Правільна правераны HTTPS дае ўласную абарону для запісаў праграмы, а TLS 1.3 аўтэнтыфікуе гэтыя даныя ад канца да канца. Ён не абяцае, што зламыснік не зможа перапыніць базавае злучэнне TCP. Таму праграма можа быць бяспечнай для чытання, але ўсё яшчэ перарываемай, і перапыненне — не тое ж, што раскрыццё. Аддзяліце гэта перад ацэнкай рызыкі.

Гэтае размежаванне важнае для справаздачы. Яно ператварае расплывістае сцвярджэнне, што VPN небяспечны, у абмежаванае сцвярджэнне пра тое, што суседні зламыснік мог назіраць або перапыніць.

Праверка 4: якую меру вы насамрэч ужылі

Агучаная інфармацыя разглядае меры маршрутызацыі і фільтрацыі і ясна кажа пра іх межы, у тым ліку зваротную фільтрацыю шляху і асіметрычныя маршруты. Не капіруйце адно значэнне sysctl на кожны хост VPN і не называйце гэта выпраўленнем. Зваротная фільтрацыя шляху ўзаемадзейнічае з маршрутызацыяй, таму значэнне, якое дапамагае адной тапалогіі, можа зламаць іншую.

Праверка — гэта каманда, а не галачка. sysctl net.ipv4.conf.all.rp_filter паказвае глабальнае значэнне, а sysctl net.ipv4.conf.tun0.rp_filter паказвае значэнне для інтэрфейса, якое фактычна дзейнічае. Чытайце абодва да і пасля любога змянення.

Выкарыстоўвайце рэкамендацыі дыстрыбутыва і ўласную схему маршрутызацыі, затым пацвердзіце наладу на інтэрфейсе, які нясе тунель, а не ў файле, які ніхто не загрузіў.

Што запісаць

Запішыце дапушчэнне пра суседняга зламысніка, пакет ядра, які працуе, радок паведамлення, які вы супаставілі, ужытую меру і месца яе прымянення, а таксама наяўныя сродкі абароны праграм. Дадайце дату праверкі паведамлення, бо гэтыя старонкі змяняюцца. Такая сукупнасць — абараняльная ацэнка.

Дата выпуску АС і працоўнае злучэнне VPN — не ацэнка. Гэта два факты, якія выпадкова лёгка сабраць.