Via VPN-pordego estas kompromitita: kio fakte estas elmetita
Hakita VPN-pordego vidas ene de sia propra tunelo, sed tio ne estas regi ĉiun seancon. Apartigu trafikon, atingon kaj konservitajn sekretojn antaŭ resanigo.
VPN-pordego staras ĉe la fino de la tunelo, kiun ĝi protektas, kio signifas, ke ĝi finas tiun ĉifradon anstataŭ pasigi ĝin. Se atakanto regas la gastigaĵon, la tunelo plu aspektas sana de ekstere, dum la maŝino en la mezo jam ne estas fidinda. La utila demando ne estas, ĉu ĉio estas malĉifrita. Ĝi estas, kion tiu gastigaĵo povis vidi, kien ĝi povis atingi, kaj kiuj sekretoj fakte estis konservitaj sur ĝi. Tiuj tri respondoj tre malsamas, kaj la reago malsamas kun ili.
La pordego finas la tunelon, do ĝi vidas enen
Ĉifrado en VPN iras salte post salto, kaj la pordego estas la salto. Ĝi forigas la eksteran tavolon, aplikas politikon kaj plusendas la internan paketon, do ĉiu portata paketo en iu momento ekzistas en legebla formo en la memoro de tiu gastigaĵo. Tio estas la dezajno, ne difekto. Tial kompromito de la pordego estas malsama evento ol kompromito de la kriptografio de la tunelo.
Kion la atakanto unue gajnas, estas pozicio: la kapablo observi portatan trafikon, ŝanĝi plusendadon, aŭ respondi anstataŭ backend. Kion ĝi gajnas poste, dependas de la gastigaĵo, kaj ĉi tie homoj trotaksas. Aliro al la pordego sola ne transdonas la TLS-seancelojn de retumilo, ĉar tiuj neniam estis sur la pordego.
Tri elmetoj, kiuj ne estas same grandaj
Dividu la demandon en portatan trafikon, atingeblajn sistemojn kaj konservitajn sekretojn, poste respondu ĉiun aparte.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
La meza vico estas tiu, kiu estas preterlasata. Pordego kutime havas itineron en privatajn retojn kaj fontan adreson, kiun la backend jam fidas, do la interesa demando estas, kion tiuj backend permesas de tiu adreso. Mallarĝa klient-aliro politiko estas bona kontrolo, sed atakanto sur la gastigaĵo ne estas limigita al la interfaco, kiun uzus normala kliento.
La malsupra vico decidas, kiom longe la okazaĵo daŭras. Servila ŝlosilo kaj CA-ŝlosilo havas tute malsamajn efikradiusojn, kaj same loka administranta konto kaj nurlega monitora ĵetono.
HTTPS ene de la tunelo restas HTTPS
Aplikaĵa TLS finiĝas en la aplikaĵo, ne ĉe la VPN-pordego, do kompromitita pordego observas ĉifrotekston por tiuj fluoj. Tio estas reala limo al kion la atakanto ricevas, kaj indas diri ĝin klare, ĉar la kontraŭa aserto disvastigas panikon kaj malbonajn decidojn. Du kondiĉoj rompas ĝin. Se inspektokomponento kun fidata atestilo staras en la vojo, la pordego povas vidi klaran tekston laŭ dezajno. Se la finpunkto de la aplikaĵo mem estas kompromitita, la tunelo estas nerelevanta.
Do la respondo al kion ili vidis estas kondiĉa, kaj ĝi devus esti skribita kiel kondiĉoj anstataŭ anoncita kiel verdikto.
Kio devas ŝanĝiĝi antaŭ ol fidi ĝin denove
Rekonstrui la gastigaĵon estas necesa kaj malofte sufiĉa. Atakanto, kiu ankoraŭ tenas administran konton, deplojan legitimilon aŭ subskriban ŝlosilon, povas remeti la gastigaĵon kiel ĝi volas. Resanigo devas komenciĝi de administra vojo, kiu ne dependas de la kompromitita maŝino.
Inventaru, kio estis sur ĝi antaŭ ol decidi, kion rotacii. Ŝlosiloj, servokontoj, API-ĵetonoj, lokaj uzantoj, planitaj taskoj, fido-rilatoj kaj la deploja tubaro estas ĉiuj kandidatoj, kaj ĉiu havas posedanton, kiu devus konfirmi ĝin.
ss -lntup
getent passwd
crontab -l
ip route show table allTiu listo estas la plej rapida maniero vidi, kion la gastigaĵo proponis kaj kien ĝi povis atingi. Konservu unue la pruvojn, laŭ la procezo de la posedanto de la respondo, ĉar rekonstruo detruas ĝuste tion, kion esploro bezonas. NIST SP 800-61 Revizio 3 traktas preparon, detekton, respondon kaj resanigon kiel partojn de unu riskprocezo, ne kiel restartinstrukcion.
Limoj, kiuj igas la sekvan pli malmultekosta
Kvar limojn indas konstrui antaŭ ol vi bezonos ilin. Tenu sendependan resanigan vojon, kiu ne aŭtentikigas tra la pordego. Tenu subskriban aŭtoritaton aparte de la gastigaĵo, kiu servas trafikon. Limigu, kien la pordego povas atingi, por ke kompromitita pordego ne estu aŭtomate kompromitita administra reto. Kaj registru, kiu posedas ĉiun legitimilon, por ke rotacio estu telefonvoko anstataŭ arkeologia projekto.
Neniu el tiuj malhelpas kompromiton. Ili limigas ĝin, kaj ili faras la diferencon inter malbona semajno kaj malbona kvarono.