TunnelCrack εναντίον TunnelVision: τι σπάει πραγματικά το καθένα

Δύο ονόματα έρευνας χρησιμοποιούνται εναλλακτικά για κάθε κίνηση VPN που φεύγει από το τούνελ, αλλά οι μηχανισμοί πίσω τους δεν είναι οι ίδιοι. Το TunnelCrack περιγράφει δύο οικογένειες εξαιρέσεων δρομολόγησης· το TunnelVision περιγράφει μια διαδρομή που παρέχει το DHCP στο τελικό σημείο. Κανένα από τα δύο δεν σπάει την κρυπτογράφηση, και κανένα δεν σας λέει τι κάνει σήμερα μια συγκεκριμένη έκδοση πελάτη. Πέντε έλεγχοι χωρίζουν τους μηχανισμούς από τον τίτλο.

Πρώτο βήμα: ονομάστε τον μηχανισμό που εξετάζετε

Η αποκάλυψη TunnelCrack του Αυγούστου 2023 περιγράφει δύο οικογένειες επιθέσεων. Στην περίπτωση του τοπικού δικτύου, η κίνηση που ο πελάτης θεωρεί ότι ανήκει στο τοπικό δίκτυο παίρνει μια εξαίρεση τοπικής πρόσβασης και φεύγει από το τούνελ. Στην περίπτωση της διεύθυνσης διακομιστή, η διαδρομή που χρειάζεται ο πελάτης για να φτάσει στον ίδιο τον διακομιστή VPN βρίσκεται έξω από το τούνελ, και ένας αντίπαλος που ελέγχει αυτή τη διεύθυνση μπορεί να εκμεταλλευτεί την εξαίρεση.

Το TunnelVision είναι μια ξεχωριστή αναφορά για στατικές διαδρομές χωρίς κλάσεις που παρέχονται μέσω DHCP. Ένας κακόβουλος διακομιστής DHCP μπορεί να δώσει στο τελικό σημείο διαδρομές που αλλάζουν ποια διαδρομή ακολουθεί η κίνηση, συμπεριλαμβανομένης της διαδρομής προς τον διακομιστή VPN. Η αναφορά αναγνωρίζει προηγούμενη εργασία για σχετικές επιδράσεις δρομολόγησης, κάτι που υπενθυμίζει ότι ο υποκείμενος μηχανισμός είναι παλαιότερος από το όνομα.

Κρατήστε τα ονόματα δεμένα με τους μηχανισμούς τους. Το να εφαρμόσετε μια διόρθωση για το ένα επειδή το άλλο είναι στις ειδήσεις είναι ο τρόπος με τον οποίο μια εξέταση παράγει κίνηση χωρίς κάλυψη.

Δεύτερο βήμα: κοιτάξτε την εξαίρεση τοπικής πρόσβασης

Οι περισσότεροι πελάτες εξαιρούν την κίνηση του τοπικού δικτύου ώστε οι εκτυπωτές, η μετάδοση οθόνης και η κοινή χρήση αρχείων να συνεχίζουν να λειτουργούν όσο το τούνελ είναι ενεργό. Αυτή η εξαίρεση είναι απόφαση πολιτικής με κόστος ασφάλειας: ένας αντίπαλος στο ίδιο δίκτυο μπορεί να παρουσιαστεί ως τοπικός κεντρικός υπολογιστής, και η κίνηση που φτάνει σε αυτόν δεν μπήκε ποτέ στο τούνελ.

Ρωτήστε αν το αναπτυγμένο προφίλ χρειάζεται καθόλου την εξαίρεση. Ένα απομακρυσμένο εργατικό δυναμικό που δεν χρησιμοποιεί ποτέ τοπική ανακάλυψη μπορεί συχνά να την απενεργοποιήσει, και οι υπόλοιπες τοπικές υπηρεσίες μπορούν να προσεγγιστούν μέσω τεκμηριωμένης διαδρομής. Όπου η εξαίρεση απαιτείται, πείτε ποιους προορισμούς καλύπτει αντί να την περιγράφετε ως τοπική κίνηση.

Ο έλεγχος είναι ερώτηση διαμόρφωσης, όχι σύλληψη πακέτων. Διαβάστε τη ρύθμιση του προφίλ και την τεκμηρίωση του πελάτη για την έκδοση που αναπτύσσετε, γιατί η προεπιλογή διαφέρει μεταξύ προϊόντων και μεταξύ εκδόσεων του ίδιου προϊόντος. Γράψτε την απάντηση δίπλα στο προφίλ, ώστε ο επόμενος ελεγκτής να μην πρέπει να τη συμπεράνει από τη συμπεριφορά. Μια εξαίρεση που δεν τεκμηρίωσε κανείς είναι μια εξαίρεση που δεν ελέγχει κανείς.

Τρίτο βήμα: κοιτάξτε πώς μαθαίνεται η διεύθυνση του διακομιστή

Ο πελάτης πρέπει να φτάσει στον διακομιστή VPN πριν υπάρξει οποιοδήποτε τούνελ, οπότε αυτός ο προορισμός δρομολογείται έξω από το τούνελ εκ σχεδιασμού. Αν η διεύθυνση μαθαίνεται από όνομα, το βήμα επίλυσης είναι μέρος της διαδρομής εμπιστοσύνης, και ένας αντίπαλος που μπορεί να απαντήσει σε αυτό το ερώτημα μπορεί να κατευθύνει τον πελάτη σε κεντρικό υπολογιστή που ελέγχει.

Η καθήλωση της διεύθυνσης, η χρήση επαληθευμένου πιστοποιητικού με το σωστό όνομα και η άρνηση υποχώρησης σε μη επαληθευμένο διακομιστή μειώνουν όλα την έκθεση. Κανένα από αυτά δεν αφαιρεί την ανάγκη να φτάσει ο διακομιστής έξω από το τούνελ· αλλάζουν ποιος μπορεί να απαντήσει για αυτή τη διεύθυνση.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Η αναζήτηση διαδρομής δείχνει τη διεπαφή που θα χρησιμοποιούσε ο πελάτης για τη διεύθυνση του διακομιστή, κάτι που είναι η εξαίρεση σε συγκεκριμένη μορφή. Αν αυτή η αναζήτηση επιστρέφει τη διεπαφή του τούνελ, ο πελάτης δεν μπορεί καν να εγκαταστήσει το τούνελ, άρα μια εξωτερική διαδρομή αναμένεται και το ερώτημα είναι μόνο πώς επιλέγεται ο προορισμός της.

Τέταρτο βήμα: κοιτάξτε τις διαδρομές που παρέχει το DHCP

Οι στατικές διαδρομές χωρίς κλάσεις επιτρέπουν σε έναν διακομιστή DHCP να διανέμει εγγραφές του πίνακα δρομολόγησης, και το τελικό σημείο τις δέχεται συνήθως χωρίς να ρωτήσει. Σε ένα δίκτυο όπου ένας αντίπαλος μπορεί να απαντήσει στο DHCP γρηγορότερα από τον νόμιμο διακομιστή, αυτές οι εγγραφές μπορούν να ανακατευθύνουν κίνηση που ο χρήστης πιστεύει ότι είναι μέσα στο τούνελ.

Συγκρίνετε τις διαδρομές στο τελικό σημείο με τις διαδρομές που περιμένετε. Μια προεπιλεγμένη διαδρομή ή ένα ευρύ πρόθεμα που δείχνει στην τοπική πύλη όσο το τούνελ είναι ενεργό είναι η υπογραφή που αξίζει έρευνα, και είναι ορατή χωρίς καμία κίνηση επίθεσης.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Η τελευταία ρύθμιση είναι ο έλεγχος από την πλευρά του τελικού σημείου που πολλοί πελάτες και πλατφόρμες εκθέτουν σε κάποια μορφή: αγνόηση των διαδρομών που παρέχει το δίκτυο. Η απενεργοποίηση της αυτόματης αποδοχής διαδρομών είναι αντιστάθμιση, γιατί απενεργοποιεί και τη νόμιμη διαχωρισμένη δρομολόγηση από εταιρικό διακομιστή DHCP, οπότε αποφασίστε το ανά κατηγορία δικτύου και όχι συνολικά.

Πέμπτο βήμα: χωρίστε την ανακοίνωση από την τρέχουσα έκδοση

Μια δημοσιευμένη επίθεση περιγράφει συμπεριφορά που παρατηρήθηκε σε συγκεκριμένες εκδόσεις πελάτη σε μια συγκεκριμένη στιγμή. Δεν αποδεικνύει ότι ο φορητός υπολογιστής μπροστά σας επηρεάζεται, και δεν αποδεικνύει ότι έχει διορθωθεί. Και οι δύο ισχυρισμοί χρειάζονται τον πραγματικό αριθμό έκδοσης και την τρέχουσα ανακοίνωση του κατασκευαστή.

Καταγράψτε την έκδοση του πελάτη, την πλατφόρμα, τις ρυθμίσεις προφίλ που διέπουν τις παραπάνω εξαιρέσεις και την ημερομηνία που ελέγξατε. Αυτό το αρχείο γερνάει έντιμα, ενώ μια σημείωση ότι το VPN μπαλώθηκε για το TunnelCrack δεν γερνάει έντιμα. Ξαναδιαβάστε το κάθε φορά που ο πελάτης ενημερώνεται, γιατί μια προεπιλογή προφίλ μπορεί να αλλάξει κάτω από μια έκδοση που δεν αγγίξατε.

Όταν επικυρώνετε πραγματικά, χρησιμοποιήστε ένα εγκεκριμένο σχέδιο εναντίον του δικού σας τελικού σημείου και ενός αβλαβούς προορισμού. Η αναπαραγωγή της επίθεσης εναντίον άλλων χρηστών σε κοινόχρηστο δίκτυο δεν είναι δοκιμή, και η απενεργοποίηση της επαλήθευσης ομοτίμων ή της κρυπτογράφησης εφαρμογής για να διευκολύνετε μια παρατήρηση αφαιρεί την προστασία που προσπαθούσατε να μετρήσετε.

Τέλος, κρατήστε την προστασία σε επίπεδο εφαρμογής στην εικόνα. Μια εξαίρεση δρομολόγησης μπορεί να εκθέσει κίνηση που το τούνελ θα μετέφερε, και το TLS της εφαρμογής εξακολουθεί να προστατεύει αυτή την κίνηση από άκρη σε άκρη. Τα δύο επίπεδα αποτυγχάνουν ανεξάρτητα, γι’ αυτό ένα συνδεδεμένο κανάλι ελέγχου δεν είναι απόδειξη ότι κάθε ροή πήρε την προβλεπόμενη διαδρομή.