Kuidas testida, mida turvalüliti kompromiteeritud hostis katab

Käivitage katkestustest, lugege iga kihi tulemust ja vaadake, kus turvalüliti peatub: see blokeerib teid, mitte tarkvara, mis loeb andmeid enne krüptimist.

Lülitage turvalüliti sisse, võtke tunneliserver võrgust välja ja jälgige, mida masin veel teeb. Test on väärt käivitamist, sest see eristab, mida tulemüür tegelikult jõustab, sellest, mida te eeldasite, ja tulemused on kitsamad, kui enamik tootelehekülgi vihjab. Turvalüliti juhib võrguteid; see ei juhi tarkvara, mis juba seadmes töötab. Käivitan selle järjestuse igas masinas, kus klient väidab, et on fail-closed, ja see võtab umbes kümme minutit.

Alustage kliendist, mitte serverist

Jõustamispunkt on host, mille taga istute: operatsioonisüsteemi tulemüür, abiteenus või VPN-kliendi enda draiver. See loeb, sest kõik, mida lüliti teha saab, on piiratud sellega, mida see kiht näeb. Kui klient rakendab blokeeringut marsruudireegli ja märgisega, saab piisavate õigustega mis tahes asi lisada oma reegli; kui ta kasutab tuuma tulemüüritabelit, saavad samad õigused tabelit muuta. Šifri tugevus ei tule siin kunagi kõne alla.

Seega tuleb kõigepealt kindlaks teha, kellele kuulub selle seadme poliitika ja mida tohib see üle kirjutada. Hallatavas töömasinas on vastuseks tavaliselt organisatsiooni lõpp-punkti agent, ja isiklik VPN ei eemalda neid võimalusi, kuidas tunnel ka poleks seadistatud.

Esimene samm: kinnitage blokeering teedel, mida see teie arvates katab

Langetage tunnel kaugemas otsas, mitte kliendis, et klient ikka arvaks, et peaks ühendatud olema. Seejärel proovige seda, mida inimene tegelikult prooviks:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Te tahate klienti, mis ebaõnnestub kiiresti ja puhtalt, mitte sellist, mis ripub brauseri ajalõpuni. Rippumine tähendab tavaliselt, et paketid visatakse vaikselt kõrvale reegliga, millel pole tagasilükkamist, mis on vastuvõetav, kuid võib tähendada ka, et klient jättis vananenud vaikimisi marsruudi surnud liidesele. Lugege marsruuditabelit, kui tunnel on maas: vaikimisi marsruut, mis osutab endiselt tunneliseadmele, ja tulemüürireegel, mis blokeerib ainult uusi väljuvaid ühendusi, on kaks erinevat olekut ja ainult üks neist on fail-closed.

Korrake samu käske kliendi allow-LAN valikuga sees ja väljas. See lüliti on koht, kus elab enamik üllatusi, sest see avab uuesti tee, mille sulgemiseks ülejäänud poliitika oli kirjutatud.

Teine samm: kontrollige DNS-i ja IPv6-te eraldi teedena

Nimede lahendamine on lünk, mis jääb ellu enamikus rakendustes, sest päring võib väljuda millestki muust kui süsteemi resolver. Küsige tööriistaga, mis eirab teie resolveri seadistust, ja kontrollige sealjuures v6 poolt:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Tühjad vastused mõlemale nimepäringule, kui tunnel on maas, on tulemus, mida soovite. Kui teine päring vastab, on kõvakodeeritud resolveri aadress kättesaadav ja tunnel ei ole ainus tee masinast välja. Kui õnnestub ainult v6 päring, katab poliitika IPv4 ja eirab IPv6, mis on sama leke teises aadressiperes.

Brauserid teevad selle väljast lugemise raskemaks, sest DNS over HTTPS jaoks seadistatud brauser lahendab päringu HTTPS-päringuga: päring on blokeeritud ainult nii palju, kui port 443 selle lõpp-punktini on. Hostis, kus poliitika lubab kohalikku alamvõrku, võib see päring siiski jõuda LAN-i resolverini.

Kolmas samm: eraldage võrgu kokkupuude lõpp-punkti kokkupuutest

Nüüd osa, kuhu ükski tulemüürireegel ei ulatu. Turvalüliti blokeerib teid masinast välja; see ei takista masinas tarkvara andmeid lugemast enne nende krüptimist ega takista sellel tarkvaral tunnelit seaduslikult kasutada. Keylogger, pahatahtlik laiendus, lahti jäetud ekraan, laiade õigustega sünkroonimisklient: kõik need liigutavad teavet ühenduse kaudu, mille lüliti hea meelega lubab.

Sama kehtib jälgimistarkvara kohta, mille tööandja meelega paigaldas. Marsruutide blokeerimine ei eemalda seda ja uue VPN-serveri ostmine ei ole parandus, sest kokkupuude asub tunnelist eespool.

Pilvekontole üleslaadiv lõikelaudade haldur näitab seda teravalt. Liiklus on krüptitud, sihtkoht lubatud ja turvalüliti teatab kogu aeg tervest olekust.

Neljas samm: sõnastage väide, mida teie test toetab

Pärast katkestustesti saate nimetada konkreetseid fakte: millised rakendused ebaõnnestusid, millised teed peatusid, kuidas käitusid DNS ja IPv6 ning kas blokeering pidas, kui tunnel langes. Te ei saa väita, et operatsioonisüsteem on puhas, ega seda, et kaugema otsa teenus hoiab teie sisselogimise privaatsena.

Hoidke kaks probleemi lahus ja andke kummaleigi oma kontroll:

  • Turvalüliti: määratletud tõrkenõue, mida kontrollitakse katkestustestiga, mida kordate pärast igat kliendi uuendust.
  • Seadme usaldus: toetatud uuendused, lõpp-punkti kaitse usaldusväärsest allikast, seletamatute õiguste ja autentimispäringute ülevaatus.
  • Juhtum: järgige platvormi või organisatsiooni protsessi, kui kahtlustate kompromissi; uus server ei ole puhastamise samm.
  • Avalikustamine: abi küsides ärge kleepige privaatvõtmeid ega terveid diagnostikaarhiive, sest logid ja ekraanipildid kannavad samu saladusi nagu ühendus.

Käivitage järjestus uuesti pärast järgmist uuendust, sest turvalüliti on seadistus, mis liigub koos versioonidega. Test on ainus tõend, et käitumine, millele loote, on endiselt see, mille saate.

Seotud artiklid