CVE-2019-14899 কি আপনাকে প্রভাবিত করেছে? কার্নেলের জন্য একটি চেকলিস্ট

একটি স্ক্যানার বহু বছর ধরে VPN চালানো একটি মেশিনে CVE-2019-14899 চিহ্নিত করে, আর প্রথম প্রবৃত্তি হলো VPN-কে ভাঙা বলে ঘোষণা করা। এটি ভুল কাঠামো। প্রকাশিত সমস্যাটি ভুক্তভোগীর স্থানীয় নেটওয়ার্কে থাকা আক্রমণকারীর কিছু TCP সংযোগ সম্পর্কে তথ্য অনুমান করা নিয়ে, কোনো ওয়েবসাইট আপনার টানেল ডিক্রিপ্ট করা নিয়ে নয়।

নিচের চারটি যাচাই ক্রমানুসারে করুন। প্রতিটি হয় সমস্যাটি সংকুচিত করে, নয় তদন্ত শেষ করে।

যাচাই 1: পরামর্শটি কি আপনার কার্নেল কভার করে

আপনার ডিস্ট্রিবিউশনের নিজের রেকর্ড দেখুন, কোনো ব্লগের রিলিজ তারিখের সারসংক্ষেপ নয়। এই CVE-এর জন্য Ubuntu নিরাপত্তা পাতা 18.04 LTS-এর সাধারণ linux প্যাকেজকে দুর্বল হিসেবে তালিকাভুক্ত করে যার সমাধান স্থগিত, এবং অন্য কার্নেল প্যাকেজগুলো আলাদা সারিতে অনুসরণ করে। আপনার চলমান রিলিজ ও কার্নেল প্যাকেজ সঠিক সারির সঙ্গে মেলান। পরিচিত দেখতে কোনো সংস্করণ নম্বর মিল নয়।

স্ক্যানারের ফল মানে শনাক্তকারীটি আপনার তালিকার কিছু একটিতে প্রযোজ্য। এর মানে নয় যে পাশের কোনো ডিভাইস মেশিনটি শোষণ করেছে।

যাচাই 2: মডেলে আক্রমণকারী কে

হুমকি মডেলটি ধরে নেয় এমন এক প্রতিবেশী আক্রমণকারী যে ভুক্তভোগীর অ্যাক্সেস নেটওয়ার্কের সঙ্গে কাজ করতে পারে। এটি একটি নির্দিষ্ট অবস্থান, আপনার এক্সিট নোড পছন্দ করে না এমন যেকোনো দূরবর্তী সেবা নয়। ব্যবহারকারীরা কফি শপ থেকে সংযোগ করলে ধারণাটি বাস্তবসম্মত; তারা কোনো পরিচালিত কর্পোরেট স্থানীয় নেটওয়ার্কের পেছনে থাকলে এটি অন্য প্রসঙ্গ।

টানেল এনক্রিপ্ট থাকলেও স্থানীয় নেটওয়ার্কের বিশ্বাসের প্রশ্নটি খোলা রাখুন। এনক্রিপশন প্রতিবেশিতার চেয়ে ভিন্ন প্রশ্নের উত্তর দেয়।

যাচাই 3: আপনি কোন স্তরের ওপর নির্ভর করছেন

সঠিকভাবে যাচাই করা HTTPS অ্যাপ্লিকেশন রেকর্ডের জন্য নিজস্ব সুরক্ষা দেয়, আর TLS 1.3 সেই তথ্য প্রান্ত থেকে প্রান্তে প্রমাণায়ন করে। এটি প্রতিশ্রুতি দেয় না যে আক্রমণকারী অন্তর্নিহিত TCP সংযোগ বাধা দিতে পারবে না। তাই একটি অ্যাপ্লিকেশন পড়ার জন্য নিরাপদ হতে পারে অথচ বাধাগ্রস্তও হতে পারে, আর বাধা দেওয়া আর তথ্য ফাঁস হওয়া একই ফল নয়। ঝুঁকি নির্ণয়ের আগে দুটিকে আলাদা করুন।

এই পার্থক্যটি প্রতিবেদনের জন্য জরুরি। এটি VPN অনিরাপদ এই অস্পষ্ট দাবিকে প্রতিবেশী আক্রমণকারী কী দেখতে বা বাধা দিতে পারে সে সম্পর্কে সীমিত বিবৃতিতে বদলে দেয়।

যাচাই 4: আপনি আসলে কী প্রশমন প্রয়োগ করেছেন

প্রকাশনাটি রাউটিং ও ফিল্টারিং প্রশমন নিয়ে আলোচনা করে এবং তাদের সীমা সম্পর্কে স্পষ্ট, যার মধ্যে রিভার্স-পাথ ফিল্টারিং ও অসমমিত রাউট আছে। একটি sysctl মান প্রতিটি VPN হোস্টে আটকে দিয়ে সমাধান হয়েছে বলবেন না। রিভার্স-পাথ ফিল্টারিং রাউটিংয়ের সঙ্গে ক্রিয়া করে, তাই এক টপোলজিতে সাহায্য করা মান অন্যটি ভাঙতে পারে।

যাচাই একটি কমান্ড, টিক বাক্স নয়। sysctl net.ipv4.conf.all.rp_filter বৈশ্বিক মান দেখায়, আর sysctl net.ipv4.conf.tun0.rp_filter প্রকৃতপক্ষে প্রযোজ্য ইন্টারফেসের মান দেখায়। যেকোনো পরিবর্তনের আগে ও পরে দুটোই পড়ুন।

ডিস্ট্রিবিউশনের নির্দেশনা ও আপনার নিজের রাউটিং নকশা ব্যবহার করুন, তারপর টানেল বহনকারী ইন্টারফেসে সেটিং নিশ্চিত করুন, কেউ লোড করেনি এমন ফাইলে নয়।

কী লিখে রাখবেন

প্রতিবেশী-আক্রমণকারী ধারণা, চলমান কার্নেল প্যাকেজ, আপনি যে পরামর্শ-সারি মিলিয়েছেন, প্রয়োগ করা প্রশমন ও তা কোথায় প্রয়োগ হয়েছে, এবং বিদ্যমান অ্যাপ্লিকেশন সুরক্ষা লিপিবদ্ধ করুন। পরামর্শ যাচাইয়ের তারিখ যোগ করুন, কারণ ওই পাতাগুলো বদলায়। এই সমন্বয়টিই একটি সমর্থনযোগ্য মূল্যায়ন।

OS রিলিজের তারিখ ও একটি কাজ করা VPN সংযোগ মূল্যায়ন নয়। এগুলো দুটি তথ্য যা কাকতালীয়ভাবে সহজে সংগ্রহ করা যায়।