Σας αφορά το CVE-2019-14899; Λίστα ελέγχου για τον πυρήνα

Ένας σαρωτής επισημαίνει το CVE-2019-14899 σε μηχάνημα που χρησιμοποιεί VPN εδώ και χρόνια, και η πρώτη παρόρμηση είναι να χαρακτηρίσουμε το VPN χαλασμένο. Αυτό είναι λάθος πλαίσιο. Το ζήτημα που δημοσιεύθηκε αφορά επιτιθέμενο στο τοπικό δίκτυο του θύματος που συνάγει πληροφορίες για ορισμένες συνδέσεις TCP, όχι ιστότοπο που αποκρυπτογραφεί τη σήραγγά σας.

Περάστε τους τέσσερις ελέγχους παρακάτω με σειρά. Ο καθένας είτε περιορίζει το πρόβλημα είτε τερματίζει την έρευνα.

Έλεγχος 1: καλύπτει η ανακοίνωση τον πυρήνα σας

Αναζητήστε την εγγραφή της δικής σας διανομής, όχι την περίληψη ενός ιστολογίου για ημερομηνία κυκλοφορίας. Η σελίδα ασφαλείας του Ubuntu για αυτό το CVE καταγράφει το γενικό πακέτο linux για 18.04 LTS ως ευάλωτο με αναβολή της διόρθωσης και παρακολουθεί άλλα πακέτα πυρήνα σε ξεχωριστές γραμμές. Αντιστοιχίστε την έκδοση που εκτελείτε και το πακέτο πυρήνα στη σωστή γραμμή. Ένας αριθμός έκδοσης που φαίνεται γνωστός δεν είναι αντιστοίχιση.

Ένα εύρημα σαρωτή σημαίνει ότι το αναγνωριστικό αφορά κάτι στο απόθεμά σας. Δεν σημαίνει ότι μια γειτονική συσκευή εκμεταλλεύτηκε το μηχάνημα.

Έλεγχος 2: ποιος είναι ο επιτιθέμενος στο μοντέλο

Το μοντέλο απειλής υποθέτει γειτονικό επιτιθέμενο που μπορεί να αλληλεπιδράσει με το δίκτυο πρόσβασης του θύματος. Είναι συγκεκριμένη θέση, όχι μια τυχαία απομακρυσμένη υπηρεσία που δεν συμπαθεί τον κόμβο εξόδου σας. Αν οι χρήστες συνδέονται από καφετέρια, η υπόθεση είναι ρεαλιστική· αν βρίσκονται πίσω από διαχειριζόμενο εταιρικό τοπικό δίκτυο, είναι άλλη συζήτηση.

Κρατήστε ανοιχτό το ζήτημα της εμπιστοσύνης στο τοπικό δίκτυο ακόμη και όταν η σήραγγα είναι κρυπτογραφημένη. Η κρυπτογράφηση απαντά σε διαφορετικό ερώτημα από τη γειτνίαση.

Έλεγχος 3: σε ποιο επίπεδο βασίζεστε

Το σωστά επικυρωμένο HTTPS παρέχει τη δική του προστασία για τις εγγραφές εφαρμογών και το TLS 1.3 επαληθεύει αυτά τα δεδομένα από άκρο σε άκρο. Δεν υπόσχεται ότι ο επιτιθέμενος δεν μπορεί να διακόψει την υποκείμενη σύνδεση TCP. Άρα μια εφαρμογή μπορεί να είναι ασφαλής για ανάγνωση και παρόλα αυτά διακόψιμη, και η διακοπή δεν είναι το ίδιο αποτέλεσμα με την αποκάλυψη. Διαχωρίστε τα δύο πριν αξιολογήσετε τον κίνδυνο.

Αυτή η διάκριση έχει σημασία για την αναφορά. Μετατρέπει τον αόριστο ισχυρισμό ότι το VPN είναι ανασφαλές σε περιορισμένη δήλωση για το τι θα μπορούσε να παρατηρήσει ή να διακόψει ένας γειτονικός επιτιθέμενος.

Έλεγχος 4: ποιο μέτρο εφαρμόσατε πραγματικά

Η αποκάλυψη συζητά μέτρα δρομολόγησης και φιλτραρίσματος και είναι σαφής για τα όριά τους, συμπεριλαμβανομένου του φιλτραρίσματος αντίστροφης διαδρομής και των ασύμμετρων διαδρομών. Μην κολλάτε μία τιμή sysctl σε κάθε κεντρικό υπολογιστή VPN και μη το λέτε διορθωμένο. Το φιλτράρισμα αντίστροφης διαδρομής αλληλεπιδρά με τη δρομολόγηση, οπότε μια τιμή που βοηθά μια τοπολογία μπορεί να σπάσει άλλη.

Η επαλήθευση είναι εντολή, όχι πλαίσιο ελέγχου. Το sysctl net.ipv4.conf.all.rp_filter δείχνει την καθολική τιμή και το sysctl net.ipv4.conf.tun0.rp_filter δείχνει την τιμή ανά διεπαφή που ισχύει πραγματικά. Διαβάστε και τις δύο πριν και μετά από κάθε αλλαγή.

Χρησιμοποιήστε την καθοδήγηση της διανομής και τον δικό σας σχεδιασμό δρομολόγησης και μετά επιβεβαιώστε τη ρύθμιση στη διεπαφή που μεταφέρει τη σήραγγα, όχι σε αρχείο που δεν φόρτωσε κανείς.

Τι να καταγράψετε

Καταγράψτε την υπόθεση του γειτονικού επιτιθέμενου, το πακέτο πυρήνα που εκτελείται, τη γραμμή της ανακοίνωσης που αντιστοιχίσατε, το μέτρο που εφαρμόσατε και πού εφαρμόζεται, και τις προστασίες εφαρμογών που υπάρχουν. Προσθέστε την ημερομηνία που ελέγξατε την ανακοίνωση, γιατί αυτές οι σελίδες αλλάζουν. Αυτός ο συνδυασμός είναι υπερασπίσιμη αξιολόγηση.

Μια ημερομηνία κυκλοφορίας λειτουργικού και μια λειτουργική σύνδεση VPN δεν είναι αξιολόγηση. Είναι δύο γεγονότα που τυχαίνει να συλλέγονται εύκολα.