TunnelCrack kontraŭ TunnelVision: kion ĉiu el ili efektive rompas

Du esploraj nomoj estas uzataj interŝanĝeble por iu ajn VPN-trafiko, kiu forlasas la tunelon, sed la mekanismoj malantaŭ ili ne estas la samaj. TunnelCrack priskribas du familiojn de vojigaj esceptoj; TunnelVision priskribas vojon liveritan de DHCP sur la fina aparato. Nek unu nek la alia rompas la ĉifradon, kaj nek unu nek la alia diras al vi, kion specifa klienta versio faras hodiaŭ. Kvin kontroloj apartigas la mekanismojn de la titolo.

Unua paŝo: nomu la mekanismon, kiun vi kontrolas

La malkaŝo TunnelCrack de aŭgusto 2023 priskribas du atakfamiliojn. En la kazo de la loka reto, trafiko, kiun la kliento konsideras aparteni al la loka reto, ricevas lokan alir-escepton kaj forlasas la tunelon. En la kazo de la servila adreso, la vojo, kiun la kliento bezonas por atingi la VPN-servilon mem, troviĝas ekster la tunelo, kaj kontraŭulo, kiu regas tiun adreson, povas ekspluati la escepton.

TunnelVision estas aparta raporto pri senklasaj statikaj vojoj liverataj de DHCP. Malica DHCP-servilo povas doni al la fina aparato vojojn, kiuj ŝanĝas, kiun vojon la trafiko prenas, inkluzive de la vojo al la VPN-servilo. La raporto agnoskas pli fruan laboron pri rilataj vojigaj efikoj, kio memorigas, ke la fundamenta mekanismo estas pli malnova ol la nomo.

Tenu la nomojn ligitaj al iliaj mekanismoj. Apliki riparon por unu ĉar la alia estas en la novaĵoj estas la maniero, kiel kontrolo produktas moviĝon sen kovrado.

Dua paŝo: rigardu la lokan alir-escepton

Plej multaj klientoj esceptas lokan retan trafikon, por ke presiloj, elsendado kaj dosiera kunhavigo daŭre funkciu dum la tunelo estas aktiva. Tiu escepto estas politika decido kun sekureca kosto: kontraŭulo en la sama reto povas prezenti sin kiel loka gastiganto, kaj la trafiko, kiu atingas ĝin, neniam eniris la tunelon.

Demandu, ĉu la dislokita profilo entute bezonas la escepton. Malproksima laborantaro, kiu neniam uzas lokan malkovron, ofte povas malŝalti ĝin, kaj la restajn lokajn servojn eblas atingi per dokumentita vojo. Kie la escepto necesas, diru, kiujn celojn ĝi kovras, anstataŭ priskribi ĝin kiel lokan trafikon.

La kontrolo estas agorda demando, ne paketa kaptado. Legu la profilan agordon kaj la klientan dokumentaron por la versio, kiun vi dislokas, ĉar la defaŭlto diferencas inter produktoj kaj inter versioj de la sama produkto. Skribu la respondon apud la profilo, por ke la sekva kontrolisto ne devu dedukti ĝin el konduto. Escepto, kiun neniu dokumentis, estas escepto, kiun neniu kontrolas.

Tria paŝo: rigardu, kiel lerniĝas la servila adreso

La kliento devas atingi la VPN-servilon antaŭ ol ekzistas iu ajn tunelo, do tiu celo estas vojigata ekster la tunelo laŭdezajne. Se la adreso lerniĝas el nomo, la solva paŝo estas parto de la fida vojo, kaj kontraŭulo, kiu povas respondi al tiu demando, povas direkti la klienton al gastiganto, kiun ĝi regas.

Fiksi la adreson, uzi kontrolitan atestilon kun la ĝusta nomo kaj rifuzi fali reen al nekontrolita servilo ĉiuj malpliigas la eksponiĝon. Neniu el ili forigas la bezonon atingi la servilon ekster la tunelo; ili ŝanĝas, kiu povas respondi pri tiu adreso.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

La voja serĉo montras la interfacon, kiun la kliento uzus por la servila adreso, kio estas la escepto en konkreta formo. Se tiu serĉo redonas la tunelan interfacon, la kliento entute ne povas starigi la tunelon, do ekstera vojo estas atendita kaj la demando estas nur, kiel elektiĝas ĝia celo.

Kvara paŝo: rigardu la vojojn liveratajn de DHCP

Senklasaj statikaj vojoj permesas al DHCP-servilo disdoni erojn de la vojiga tabelo, kaj la fina aparato kutime akceptas ilin sen demandi. En reto, kie kontraŭulo povas respondi al DHCP pli rapide ol la laŭleĝa servilo, tiuj eroj povas alidirekti trafikon, kiun la uzanto kredas esti ene de la tunelo.

Komparu la vojojn sur la fina aparato kun la vojoj, kiujn vi atendas. Defaŭlta vojo aŭ larĝa prefikso montranta al la loka enirejo dum la tunelo estas aktiva estas la signo inda je esploro, kaj ĝi estas videbla sen iu ajn ataka trafiko.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

La lasta agordo estas la regilo ĉe la flanko de la fina aparato, kiun multaj klientoj kaj platformoj elmontras en iu formo: ignori vojojn liveritajn de la reto. Malŝalti aŭtomatan voj-akcepton estas kompromiso, ĉar ĝi ankaŭ malŝaltas laŭleĝan dividitan vojigon de entreprena DHCP-servilo, do decidiĝu laŭ reta klaso, ne tutmonde.

Kvina paŝo: apartigu la sciigon de la nuna versio

Publikigita atako priskribas konduton observitan ĉe apartaj klientaj versioj en aparta tempo. Ĝi ne pruvas, ke la tekkomputilo antaŭ vi estas trafita, kaj ĝi ne pruvas, ke ĝi estas riparita. Ambaŭ asertoj bezonas la faktan versian numeron kaj la aktualan sciigon de la vendisto.

Notu la klientan version, la platformon, la profilajn agordojn, kiuj regas la suprajn esceptojn, kaj la daton, kiam vi kontrolis. Tiu registro maljuniĝas honeste, dum noto, ke la VPN estis flikita pro TunnelCrack, ne faras tion. Relutu ĝin ĉiufoje, kiam la kliento ĝisdatiĝas, ĉar profila defaŭlto povas ŝanĝiĝi sub versio, kiun vi ne tuŝis.

Kiam vi vere validigas, uzu aprobitan planon kontraŭ via propra fina aparato kaj sendanĝera celo. Reprodukti la atakon kontraŭ aliaj uzantoj en komuna reto ne estas testo, kaj malŝalti la kontrolon de samrangulo aŭ la aplikaĵan ĉifradon por faciligi observon forigas la protekton, kiun vi provis mezuri.

Fine, tenu la protekton ĉe la aplikaĵa nivelo en la bildo. Vojiga escepto povas elmeti trafikon, kiun la tunelo portus, kaj la TLS de la aplikaĵo ankoraŭ protektas tiun trafikon de fino al fino. La du tavoloj malsukcesas sendepende, tial konektita rega kanalo ne estas pruvo, ke ĉiu fluo prenis la celitan vojon.