Ydy CVE-2019-14899 yn effeithio arnoch? Rhestr wirio ar gyfer y cnewyllyn

Mae sganiwr yn nodi CVE-2019-14899 ar beiriant sydd wedi defnyddio VPN ers blynyddoedd, a’r gred gyntaf yw dweud bod y VPN wedi torri. Ffram anghywir yw hon. Mae’r mater a gyhoeddwyd yn ymwneud ag ymosodwr ar rwydwaith lleol y dioddefwr sy’n casglu gwybodaeth am gysylltiadau TCP penodol, nid gwefan yn dadgryptio’ch twnnel.

Ewch drwy’r pedwar gwiriad isod yn eu trefn. Mae pob un naill ai’n culhau’r broblem neu’n gorffen yr ymchwiliad.

Gwirio 1: a yw’r cyngor yn cynnwys eich cnewyllyn

Chwiliwch yng nghofnod eich dosbarthiad eich hun, nid crynodeb blog o ddyddiad rhyddhau. Mae tudalen diogelwch Ubuntu ar gyfer y CVE hon yn rhestru’r pecyn linux cyffredinol ar gyfer 18.04 LTS fel un bregus gyda’r cywiriad wedi ei ohirio, ac yn olrhain pecynnau cnewyllyn eraill mewn rhesi ar wahân. Cyfatebwch eich rhyddhau rhedegol a’ch pecyn cnewyllyn i’r rhes gywir. Nid yw rhif fersiwn sy’n edrych yn gyfarwydd yn gyfatebiaeth.

Mae canlyniad sganiwr yn golygu bod y dynodwr yn berthnasol i rywbeth yn eich rhestr. Nid yw’n golygu bod dyfais gyfagos wedi manteisio ar y peiriant.

Gwirio 2: pwy yw’r ymosodwr yn y model

Mae’r model bygythiad yn tybio ymosodwr cyfagos a all ryngweithio â rhwydwaith mynediad y dioddefwr. Safle penodol yw hwn, nid gwasanaeth pell mympwyol nad yw’n hoffi eich nod allanfa. Os yw defnyddwyr yn cysylltu o gaffi, mae’r dybiaeth yn realistig; os ydynt y tu ôl i LAN gorfforaethol a reolir, mae’n sgwrs wahanol.

Cadwch gwestiwn ymddiriedaeth y rhwydwaith lleol yn agored hyd yn oed pan fo’r twnnel wedi ei amgryptio. Mae amgryptio’n ateb cwestiwn gwahanol i gyfagosrwydd.

Gwirio 3: ar ba haen yr ydych yn dibynnu

Mae HTTPS wedi ei ddilysu’n gywir yn darparu ei amddiffyniad ei hun ar gyfer cofnodion cymhwysiad, ac mae TLS 1.3 yn dilysu’r data hwnnw o ben bwy gilydd. Nid yw’n addo na all ymosodwr darfu ar y cysylltiad TCP sylfaenol. Felly gall cymhwysiad fod yn ddiogel i@APOS;w ddarllen tra’n parhau’n amharadwy, ac nid yw tarfu yr un canlyniad â datgeliad. Gwahanwch y ddau cyn asesu’r risg.

Mae’r gwahaniaeth hwnnw’n bwysig i’r adroddiad. Mae’n troi honiad annelwig bod y VPN yn anniogel yn ddatganiad cyfyngedig am yr hyn y gallai ymosodwr cyfagos ei weld neu ei darfu.

Gwirio 4: pa liniariad a ddefnyddioch mewn gwirionedd

Mae’r datgeliad yn trafod lliniariadau llwybro a hidlo ac yn glir am eu terfynau, gan gynnwys hidlo llwybr gwrthdro a llwybrau anghymesur. Peidiwch â phastio un gwerth sysctl ar bob gwesteiwr VPN a@APOS;i alw’n gywiredig. Mae hidlo llwybr gwrthdro yn rhyngweithio â llwybro, felly gall gwerth sy’n helpu un topoleg dorri un arall.

Gorchymyn yw gwirio, nid blwch ticio. Mae sysctl net.ipv4.conf.all.rp_filter yn dangos y gwerth byd-eang, ac mae sysctl net.ipv4.conf.tun0.rp_filter yn dangos y gwerth fesul rhyngwyneb sy’n gymwys mewn gwirionedd. Darllenwch y ddau cyn ac ar ôl unrhyw newid.

Defnyddiwch ganllawiau’r dosbarthiad a’ch cynllun llwybro eich hun, yna cadarnhewch y gosodiad ar y rhyngwyneb sy’n cario’r twnnel, nid mewn ffeil na lwythodd neb.

Beth i@APOS;w gofnodi

Cofnodwch y dybiaeth ymosodwr cyfagos, y pecyn cnewyllyn rhedegol, rhes y cyngor a gyfatebwyd, y lliniariad a ddefnyddiwyd a ble y@APOS;i gweithredir, a’r amddiffyniadau cymhwysiad sydd ar waith. Ychwanegwch y dyddiad y gwnaethoch wirio’r cyngor, oherwydd mae’r tudalennau hynny’n newid. Mae’r cyfuniad hwnnw’n asesiad y gellir ei amddiffyn.

Nid yw dyddiad rhyddhau OS a chysylltiad VPN sy’n gweithio yn asesiad. Dau ffaith ydynt sy’n digwydd bod yn hawdd i@APOS;w casglu.