Zasáhla vás CVE-2019-14899? Kontrolní seznam pro jádro
Popsaný útok vyžadoval útočníka v sousední síti a konkrétní síťové nastavení hostitele. Zkontrolujte řádek v doporučení, balíček jádra a své zmírnění.
Skener označí CVE-2019-14899 na stroji, který roky používá VPN, a prvním instinktem je prohlásit VPN za rozbitou. To je špatný rámec. Zveřejněný problém se týká útočníka v místní síti oběti, který usuzuje informace o určitých spojeních TCP, nikoli webu, který dešifruje váš tunel.
Projděte čtyři kontroly níže v pořadí. Každá buď zúží problém, nebo vyšetřování ukončí.
Kontrola 1: pokrývá doporučení vaše jádro
Hledejte vlastní záznam své distribuce, ne shrnutí data vydání z blogu. Bezpečnostní stránka Ubuntu k této CVE uvádí obecný balíček linux pro 18.04 LTS jako zranitelný s odloženou opravou a sleduje další balíčky jádra v samostatných řádcích. Spárujte běžící vydání a balíček jádra se správným řádkem. Známě vypadající číslo verze není shoda.
Nález skeneru znamená, že se identifikátor vztahuje na něco ve vašem inventáři. Neznamená, že sousední zařízení stroj zneužilo.
Kontrola 2: kdo je v modelu útočník
Model hrozby předpokládá sousedního útočníka, který může komunikovat s přístupovou sítí oběti. To je konkrétní pozice, ne libovolná vzdálená služba, které se nelíbí váš výstupní uzel. Pokud se uživatelé připojují z kavárny, je předpoklad realistický; pokud sedí za spravovanou podnikovou místní sítí, je to jiná debata.
Nechte otázku důvěry v místní síť otevřenou, i když je tunel šifrovaný. Šifrování odpovídá na jinou otázku než sousedství.
Kontrola 3: na kterou vrstvu se spoléháte
Správně ověřený HTTPS poskytuje vlastní ochranu záznamů aplikace a TLS 1.3 tato data autentizuje od konce ke konci. Neslibuje, že útočník nemůže přerušit podkladové spojení TCP. Aplikace tedy může být bezpečná ke čtení, a přesto přerušitelná, a přerušení není stejný výsledek jako prozrazení. Oddělte obojí, než riziko ohodnotíte.
Tento rozdíl je pro zprávu důležitý. Mění vágní tvrzení, že VPN je nezabezpečená, na omezené tvrzení o tom, co by sousední útočník mohl pozorovat nebo přerušit.
Kontrola 4: jaké zmírnění jste skutečně nasadili
Zveřejnění probírá zmírnění v oblasti směrování a filtrování a je výslovné o jejich limitech, včetně filtrování zpětné cesty a asymetrických tras. Nelepte jednu hodnotu sysctl na každý hostitel VPN a neříkejte, že je opraveno. Filtrování zpětné cesty interaguje se směrováním, takže hodnota, která pomůže jedné topologii, může jinou rozbít.
Ověření je příkaz, ne zaškrtávací políčko. sysctl net.ipv4.conf.all.rp_filter ukazuje globální hodnotu a sysctl net.ipv4.conf.tun0.rp_filter ukazuje hodnotu pro rozhraní, která skutečně platí. Přečtěte obě před změnou i po ní.
Použijte pokyny distribuce a vlastní návrh směrování, pak potvrďte nastavení na rozhraní, které nese tunel, ne v souboru, který nikdo nenačetl.
Co si zapsat
Zapište předpoklad sousedního útočníka, běžící balíček jádra, řádek doporučení, který jste spárovali, nasazené zmírnění a kde je použito, a existující ochrany aplikace. Přidejte datum, kdy jste doporučení zkontrolovali, protože ty stránky se mění. Taková kombinace je obhajitelné hodnocení.
Datum vydání OS a fungující připojení VPN nejsou hodnocení. Jsou to dva údaje, které se náhodou snadno sbírají.