Η πύλη VPN σας έχει παραβιαστεί: τι εκτίθεται πραγματικά

Μια πύλη VPN βρίσκεται στο άκρο της σήραγγας που προστατεύει, που σημαίνει ότι τερματίζει αυτή την κρυπτογράφηση αντί να τη διαβιβάζει. Αν ένας επιτιθέμενος ελέγχει τον κεντρικό υπολογιστή, η σήραγγα συνεχίζει να φαίνεται υγιής από έξω, ενώ το μηχάνημα στη μέση δεν είναι πλέον αξιόπιστο. Το χρήσιμο ερώτημα δεν είναι αν όλα αποκρυπτογραφούνται. Είναι τι μπορούσε να δει αυτός ο υπολογιστής, πού μπορούσε να φτάσει και ποια μυστικά ήταν πραγματικά αποθηκευμένα πάνω του. Αυτές οι τρεις απαντήσεις διαφέρουν πολύ, και η αντίδραση διαφέρει μαζί τους.

Η πύλη τερματίζει τη σήραγγα, άρα βλέπει μέσα της

Η κρυπτογράφηση σε ένα VPN γίνεται άλμα προς άλμα, και η πύλη είναι το άλμα. Αφαιρεί το εξωτερικό στρώμα, εφαρμόζει πολιτική και προωθεί το εσωτερικό πακέτο, οπότε κάθε μεταφερόμενο πακέτο υπάρχει κάποια στιγμή σε αναγνώσιμη μορφή στη μνήμη αυτού του υπολογιστή. Αυτός είναι ο σχεδιασμός και όχι ελάττωμα. Γι’ αυτό η παραβίαση της πύλης είναι διαφορετικό γεγονός από την παραβίαση της κρυπτογραφίας της σήραγγας.

Αυτό που κερδίζει πρώτα ο επιτιθέμενος είναι θέση: η ικανότητα να παρατηρεί τη μεταφερόμενη κίνηση, να αλλάζει την προώθηση ή να απαντά στη θέση ενός backend. Το τι κερδίζει μετά εξαρτάται από τον υπολογιστή, και εδώ οι άνθρωποι υπερεκτιμούν. Η πρόσβαση μόνο στην πύλη δεν παραδίδει τα κλειδιά συνεδρίας TLS του προγράμματος περιήγησης, γιατί αυτά δεν ήταν ποτέ στην πύλη.

Τρεις εκθέσεις που δεν έχουν το ίδιο μέγεθος

Χωρίστε το ερώτημα σε μεταφερόμενη κίνηση, προσβάσιμα συστήματα και αποθηκευμένα μυστικά και απαντήστε σε καθένα χωριστά.

Η μεσαία γραμμή είναι αυτή που παραλείπεται. Μια πύλη έχει συνήθως διαδρομή προς ιδιωτικά δίκτυα και μια διεύθυνση προέλευσης που τα backend εμπιστεύονται ήδη, οπότε το ενδιαφέρον ερώτημα είναι τι επιτρέπουν αυτά τα backend από εκείνη τη διεύθυνση. Μια στενή πολιτική πρόσβασης πελατών είναι καλός έλεγχος, αλλά ο επιτιθέμενος στον υπολογιστή δεν περιορίζεται στη διεπαφή που θα χρησιμοποιούσε ένας κανονικός πελάτης.

Η κάτω γραμμή καθορίζει πόσο διαρκεί το περιστατικό. Ένα κλειδί διακομιστή και ένα κλειδί CA έχουν εντελώς διαφορετική εμβέλεια, όπως και ένας τοπικός λογαριασμός διαχειριστή και ένα διακριτικό παρακολούθησης μόνο για ανάγνωση.

Το HTTPS μέσα στη σήραγγα παραμένει HTTPS

Το TLS της εφαρμογής τερματίζεται στην εφαρμογή, όχι στην πύλη VPN, οπότε μια παραβιασμένη πύλη παρατηρεί κρυπτοκείμενο για αυτές τις ροές. Αυτό είναι ένα πραγματικό όριο σε αυτό που αποκτά ο επιτιθέμενος, και αξίζει να ειπωθεί καθαρά, γιατί ο αντίθετος ισχυρισμός διαδίδει πανικό και κακές αποφάσεις. Δύο συνθήκες το σπάνε. Αν υπάρχει στη διαδρομή ένα στοιχείο επιθεώρησης με έμπιστο πιστοποιητικό, η πύλη μπορεί να βλέπει απλό κείμενο εκ σχεδιασμού. Αν το ίδιο το τελικό σημείο της εφαρμογής είναι παραβιασμένο, η σήραγγα είναι άσχετη.

Άρα η απάντηση στο τι είδαν είναι υπό όρους, και πρέπει να καταγραφεί ως όροι αντί να ανακοινωθεί ως ετυμηγορία.

Τι πρέπει να αλλάξει πριν την εμπιστευτείτε ξανά

Η ανακατασκευή του υπολογιστή είναι απαραίτητη και σπάνια αρκετή. Ένας επιτιθέμενος που κρατά ακόμη λογαριασμό διαχείρισης, διαπιστευτήριο ανάπτυξης ή κλειδί υπογραφής μπορεί να επαναφέρει τον υπολογιστή όπως θέλει. Η αποκατάσταση πρέπει να ξεκινά από μια διαδρομή διαχείρισης που δεν εξαρτάται από το παραβιασμένο μηχάνημα.

Καταγράψτε τι υπήρχε πάνω του πριν αποφασίσετε τι θα περιστρέψετε. Κλειδιά, λογαριασμοί υπηρεσιών, διακριτικά API, τοπικοί χρήστες, προγραμματισμένες εργασίες, σχέσεις εμπιστοσύνης και ο αγωγός ανάπτυξης είναι όλοι υποψήφιοι, και ο καθένας έχει έναν ιδιοκτήτη που πρέπει να το επιβεβαιώσει.

ss -lntup
getent passwd
crontab -l
ip route show table all

Αυτή η λίστα είναι ο ταχύτερος τρόπος να δείτε τι πρόσφερε ο υπολογιστής και πού μπορούσε να φτάσει. Διατηρήστε πρώτα τα αποδεικτικά στοιχεία, σύμφωνα με τη διαδικασία του υπευθύνου αντίδρασης, γιατί μια ανακατασκευή καταστρέφει ακριβώς αυτό που χρειάζεται μια έρευνα. Το NIST SP 800-61 Αναθεώρηση 3 αντιμετωπίζει την προετοιμασία, την ανίχνευση, την αντίδραση και την αποκατάσταση ως μέρη μιας διαδικασίας κινδύνου και όχι ως οδηγία επανεκκίνησης.

Όρια που κάνουν το επόμενο φθηνότερο

Αξίζει να χτίσετε τέσσερα όρια πριν τα χρειαστείτε. Κρατήστε μια ανεξάρτητη διαδρομή αποκατάστασης που δεν πιστοποιείται μέσω της πύλης. Κρατήστε την εξουσία υπογραφής χωριστά από τον υπολογιστή που εξυπηρετεί κίνηση. Περιορίστε πού μπορεί να φτάσει η πύλη, ώστε μια παραβιασμένη πύλη να μην είναι αυτόματα παραβιασμένο δίκτυο διαχείρισης. Και καταγράψτε ποιος κατέχει κάθε διαπιστευτήριο, ώστε η περιστροφή να είναι ένα τηλεφώνημα αντί για αρχαιολογικό έργο.

Κανένα από αυτά δεν εμποδίζει την παραβίαση. Την περιορίζουν και κάνουν τη διαφορά ανάμεσα σε μια κακή εβδομάδα και ένα κακό τρίμηνο.