Mae eich porth VPN wedi’i gyfaddawdu: beth sydd mewn gwirionedd yn agored

Mae porth VPN yn sefyll ar ddiwedd y twnnel y mae’n ei amddiffyn, sy’n golygu ei fod yn terfynu’r amgryptiad hwnnw yn hytrach na’i basio ymlaen. Os yw ymosodwr yn rheoli’r gwesteiwr, mae’r twnnel yn dal i edrych yn iach o’r tu allan tra nad yw’r peiriant yn y canol yn haeddadwy mwyach. Nid y cwestiwn defnyddiol yw a yw popeth yn cael ei ddatgryptio. Y cwestiwn yw beth y gallai’r gwesteiwr hwnnw ei weld, ble y gallai gyrraedd, a pha gyfrinachau oedd mewn gwirionedd wedi’u storio arno. Mae’r tri ateb yn gwahaniaethu’n fawr, ac mae’r ymateb yn gwahaniaethu gyda nhw.

Mae’r porth yn terfynu’r twnnel, felly mae’n gweld y tu mewn

Mae amgryptio mewn VPN yn mynd naid wrth naid, a’r porth yw’r naid. Mae’n tynnu’r haen allanol, yn cymhwyso polisi ac yn anfon y pecyn mewnol ymlaen, felly mae pob pecyn a gludir yn bodoli mewn ffurf ddarllenadwy yng nghof y gwesteiwr hwnnw ar ryw adeg. Dyna’r dyluniad yn hytrach na diffyg. Dyna hefyd pam mae cyfaddawdu’r porth yn ddigwyddiad gwahanol i gyfaddawdu cryptograffeg y twnnel.

Y peth cyntaf y mae’r ymosodwr yn ei ennill yw safle: y gallu i arsylwi traffig a gludir, newid anfon ymlaen, neu ateb yn lle backend. Mae’r hyn y mae’n ei ennill nesaf yn dibynnu ar y gwesteiwr, a dyma lle mae pobl yn goramcangyfrif. Nid yw mynediad i’r porth yn unig yn rhoi allweddi sesiwn TLS porwr, oherwydd nid oeddent erioed ar y porth.

Tri amlygiad nad ydynt yr un maint

Rhannwch y cwestiwn yn draffig a gludir, systemau y gellir eu cyrraedd a chyfrinachau wedi’u storio, yna atebwch bob un ar wahân.

Y rhes ganol yw’r un sy’n cael ei hepgor. Mae gan borth fel arfer lwybr i rwydweithiau preifat a chyfeiriad ffynhonnell y mae’r backendau yn ymddiried ynddo’n barod, felly’r cwestiwn diddorol yw beth mae’r backendau hynny’n ei ganiatáu o’r cyfeiriad hwnnw. Mae polisi mynediad cleient cul yn rheolaeth dda, ond nid yw ymosodwr ar y gwesteiwr wedi’i gyfyngu i’r rhyngwyneb y byddai cleient arferol yn ei ddefnyddio.

Y rhes waelod sy’n penderfynu pa mor hir y mae’r digwyddiad yn para. Mae gan allwedd gweinydd ac allwedd CA radiws effaith hollol wahanol, ac felly hefyd cyfrif gweinyddol lleol a thocyn monitro darllen yn unig.

Mae HTTPS y tu mewn i’r twnnel yn dal i fod yn HTTPS

Mae TLS cymhwysiad yn terfynu yn y cymhwysiad, nid wrth borth VPN, felly mae porth wedi’i gyfaddawdu yn arsylwi ciphertext ar gyfer y ffrydiau hynny. Mae hynny’n gyfyngiad gwirioneddol ar yr hyn y mae’r ymosodwr yn ei gael, ac mae’n werth ei ddweud yn blaen, oherwydd mae’r gosodiad gwrthwyneb yn lledaenu panig a phenderfyniadau gwael. Mae dau amod yn torri hyn. Os oes cydran archwilio â thystysgrif dibynadwy ar y llwybr, gall y porth weld testun plaen yn ôl y dyluniad. Os yw pen taith y cymhwysiad ei hun wedi’i gyfaddawdu, mae’r twnnel yn amherthnasol.

Felly mae’r ateb i beth a welsant yn amodol, a dylid ei ysgrifennu fel amodau yn hytrach na’i gyhoeddi fel dedfryd.

Beth sy’n rhaid newid cyn i chi ymddiried ynddo eto

Mae ailadeiladu’r gwesteiwr yn angenrheidiol ac yn anaml yn ddigonol. Gall ymosodwr sydd o hyd yn dal cyfrif rheoli, cymhwyster defnyddio neu allwedd llofnodi roi’r gwesteiwr yn ôl fel y mynno. Rhaid i adferiad ddechrau o lwybr gweinyddu nad yw’n dibynnu ar y peiriant sydd wedi’i gyfaddawdu.

Rhestrwch beth oedd arno cyn penderfynu beth i’w gylchdroi. Mae allweddi, cyfrifon gwasanaeth, tocynnau API, defnyddwyr lleol, swyddi wedi’u hamserlennu, perthnasoedd ymddiriedaeth a’r gwaith pibell defnyddio oll yn ymgeiswyr, ac mae gan bob un berchennog a ddylai gadarnhau.

ss -lntup
getent passwd
crontab -l
ip route show table all

Y rhestr honno yw’r ffordd gyflymaf i weld beth oedd y gwesteiwr yn ei gynnig a ble y gallai gyrraedd. Cadwch y dystiolaeth yn gyntaf, o dan broses perchennog yr ymateb, oherwydd mae ailadeiladu’n dinistrio’n union yr hyn sydd ei angen ar ymchwiliad. Mae NIST SP 800-61 Diwygiad 3 yn trin paratoi, canfod, ymateb ac adfer fel rhannau o un broses risg yn hytrach na chyfarwyddyd ailgychwyn.

Ffiniau sy’n gwneud y nesaf yn rhatach

Mae pedair ffin yn werth eu hadeiladu cyn i chi eu hangen. Cadwch lwybr adfer annibynnol nad yw’n dilysu trwy’r porth. Cadwch awdurdod llofnodi ar wahân i’r gwesteiwr sy’n gwasanaethu traffig. Cyfyngwch beth y gall y porth ei gyrraedd, fel nad yw porth wedi’i gyfaddawdu yn rhwydwaith rheoli wedi’i gyfaddawdu yn awtomatig. A chofnodwch pwy sy’n berchen ar bob cymhwyster, fel bod cylchdroi’n alwad ffôn yn lle prosiect archaeoleg.

Nid yw’r un o’r rhain yn atal cyfaddawd. Maent yn ei ffinio, ac yn gwneud y gwahaniaeth rhwng wythnos wael a chwarter gwael.