Kas CVE-2019-14899 puudutab teid? Kerneli kontrollnimekiri

Skanner märgib CVE-2019-14899 masinal, mis on aastaid VPN-i kasutanud, ja esimene impulss on kuulutada VPN katki. See on vale raamistik. Avaldatud probleem puudutab ründajat ohvri kohalikus võrgus, kes tuletab teavet teatud TCP-ühenduste kohta, mitte veebisaiti, mis teie tunnelit dekrüpteerib.

Käige allolevad neli kontrolli järjest läbi. Igaüks kas kitsendab probleemi või lõpetab uurimise.

Kontroll 1: kas teade hõlmab teie kerneli

Otsige oma distributsiooni enda kannet, mitte blogi kokkuvõtet avaldamiskuupäevast. Ubuntu turbaleht selle CVE kohta loetleb 18.04 LTS-i üldise linux-paketi haavatavana koos edasilükatud parandusega ja jälgib teisi kerneli pakette eraldi ridadel. Sobitage oma jooksev väljaanne ja kerneli pakett õige reaga. Tuttavana tunduv versiooninumber ei ole sobivus.

Skanneri leid tähendab, et identifikaator kehtib millegi kohta teie inventaris. See ei tähenda, et naaberseade on masinat ära kasutanud.

Kontroll 2: kes on mudelis ründaja

Ohumudel eeldab külgnevat ründajat, kes saab ohvri juurdepääsuvõrguga suhelda. See on konkreetne positsioon, mitte suvaline kaugteenus, kellele teie väljundssõlm ei meeldi. Kui kasutajad ühenduvad kohvikust, on eeldus realistlik; kui nad on hallatava ettevõtte kohtvõrgu taga, on see teine vestlus.

Jätke kohaliku võrgu usalduse küsimus lahtiseks ka siis, kui tunnel on krüpteeritud. Krüpteerimine vastab teisele küsimusele kui külgnemine.

Kontroll 3: millisele kihile te toetute

Korrektselt valideeritud HTTPS annab rakenduskirjetele oma kaitse ja TLS 1.3 autendib need andmed otsast otsani. See ei taga, et ründaja ei saa aluseks olevat TCP-ühendust katkestada. Seega võib rakendus olla lugemiseks turvaline ja siiski katkestatav, ning katkestamine ei ole sama tulemus kui avalikustamine. Eraldage need kaks enne riski hindamist.

See eristus on aruande jaoks oluline. See muudab ebamäärase väite, et VPN on ebaturvaline, piiratud väiteks selle kohta, mida külgnev ründaja võiks jälgida või katkestada.

Kontroll 4: millise leevendusmeetme te tegelikult juurutasite

Avalikustamine käsitleb marsruutimise ja filtreerimise leevendusmeetmeid ning on nende piiride osas selge, sealhulgas pöördtee filtreerimine ja asümmeetrilised marsruudid. Ärge kleepige ühte sysctl väärtust igale VPN-hostile ja öelge, et see on parandatud. Pöördtee filtreerimine mõjutab marsruutimist, seega ühte topoloogiat aitav väärtus võib teise rikkuda.

Kontrollimine on käsk, mitte märkeruut. sysctl net.ipv4.conf.all.rp_filter näitab globaalset väärtust ja sysctl net.ipv4.conf.tun0.rp_filter näitab liidesepõhist väärtust, mis tegelikult kehtib. Lugege mõlemat enne ja pärast iga muudatust.

Kasutage distributsiooni juhiseid ja oma marsruutimiskavandit, seejärel kinnitage seade liidesel, mis tunnelit kannab, mitte failis, mida keegi ei laadinud.

Mida üles kirjutada

Kirjutage üles külgneva ründaja eeldus, jooksev kerneli pakett, sobitatud teate rida, juurutatud leevendusmeede ja selle rakendamise koht ning olemasolevad rakenduskaitse meetmed. Lisage kuupäev, millal teadet kontrollisite, sest need lehed muutuvad. See kombinatsioon on kaitstav hinnang.

OS-i avaldamiskuupäev ja töötav VPN-ühendus ei ole hinnang. Need on kaks fakti, mida juhtumisi on lihtne koguda.