TunnelCrack vs TunnelVision: mida kumb tegelikult lõhub

Kahte uurimisnime kasutatakse vaheldumisi iga VPN-liikluse puhul, mis tunnelist väljub, kuid nende taga olevad mehhanismid ei ole samad. TunnelCrack kirjeldab kahte marsruutimiserandite perekonda; TunnelVision kirjeldab DHCP kaudu lõppseadmele antavat marsruuti. Kumbki ei murra krüpteerimist ja kumbki ei ütle teile, mida konkreetne kliendiversioon täna teeb. Viis kontrolli eristavad mehhanismid pealkirjast.

Esimene samm: nimetage mehhanism, mida te kontrollite

TunnelCracki avalikustamine 2023. aasta augustis kirjeldab kahte rünnakute perekonda. Kohaliku võrgu korral saab liiklus, mida klient peab kohaliku võrgu osaks, kohaliku juurdepääsu erandi ja väljub tunnelist. Serveri aadressi korral asub marsruut, mida klient vajab VPN-serveri enda kättesaamiseks, väljaspool tunnelit, ja vastane, kes seda aadressi kontrollib, saab erandit ära kasutada.

TunnelVision on eraldi raport klassita staatiliste marsruutide kohta, mida DHCP edastab. Pahatahtlik DHCP-server võib anda lõppseadmele marsruudid, mis muudavad liikluse teekonda, sealhulgas teekonda VPN-serveri poole. Raport tunnistab varasemat tööd seotud marsruutimismõjude kohta, mis tuletab meelde, et põhimehhanism on nimest vanem.

Hoidke nimed oma mehhanismide küljes. Paranduse rakendamine ühele sellepärast, et teine on uudistes, on viis, kuidas ülevaatus tekitab liikumist ilma katvuseta.

Teine samm: vaadake kohaliku juurdepääsu erandit

Enamik kliente jätab kohaliku võrgu liikluse erandiks, et printerid, ekraani edastamine ja failijagamine töötaksid tunneliga ühendatud olekus. See erand on poliitikaotsus turvakuluga: samas võrgus olev vastane võib esineda kohaliku hostina ja liiklus, mis temani jõuab, ei ole kunagi tunnelisse sisenenud.

Küsige, kas juurutatud profiilil on erandit üldse vaja. Kaugtööjõud, kes ei kasuta kunagi kohalikku avastust, saab selle sageli välja lülitada, ja ülejäänud kohalikele teenustele pääseb dokumenteeritud teed pidi. Kui erand on vajalik, öelge, milliseid sihtkohti see hõlmab, selle asemel et kirjeldada seda kohaliku liiklusena.

Kontroll on konfiguratsiooniküsimus, mitte paketipüük. Lugege profiili sätet ja kliendi dokumentatsiooni selle versiooni kohta, mida juurutate, sest vaikeväärtus erineb toodete vahel ja sama toote versioonide vahel. Kirjutage vastus profiili kõrvale, et järgmine kontrollija ei peaks seda käitumisest tuletama. Erand, mida keegi ei dokumenteerinud, on erand, mida keegi ei kontrolli.

Kolmas samm: vaadake, kuidas serveri aadress selgitatakse

Klient peab VPN-serverini jõudma enne, kui ükski tunnel olemas on, seega marsruuditakse see sihtkoht projekti järgi väljapoole tunnelit. Kui aadress õpitakse nimest, on nime lahendamise samm usaldustee osa ja vastane, kes suudab sellele päringule vastata, saab kliendi suunata hostile, mida ta kontrollib.

Aadressi kinnitamine, õige nimega kontrollitud sertifikaadi kasutamine ja keeldumine laskumast kontrollimata serverile vähendavad kõik kokkupuudet. Ükski neist ei kõrvalda vajadust jõuda serverini väljaspool tunnelit; need muudavad, kes saab selle aadressi eest vastata.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Marsruudiotsing näitab liidest, mida klient serveri aadressi jaoks kasutaks, mis on erand konkreetsel kujul. Kui see otsing tagastab tunneli liidese, ei saa klient tunnelit üldse püsti panna, seega väljastpoolt tulev marsruut on ootuspärane ja küsimus on ainult selles, kuidas valitakse selle sihtkoht.

Neljas samm: vaadake DHCP kaudu antavaid marsruute

Klassita staatilised marsruudid lubavad DHCP-serveril jagada marsruutimistabeli kirjeid ja lõppseade võtab need tavaliselt ilma küsimata vastu. Võrgus, kus vastane suudab DHCP-le vastata kiiremini kui seaduslik server, võivad need kirjed ümber suunata liiklust, mida kasutaja usub olevat tunneli sees.

Võrrelge lõppseadme marsruute marsruutidega, mida ootate. Vaikemarsruut või lai prefiks, mis osutab kohalikule lüüsile tunneliga ühendatud olekus, on tunnus, mida tasub uurida, ja see on nähtav ilma igasuguse ründeliikluseta.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Viimane säte on lõppseadme poolne juhtimine, mida paljud kliendid ja platvormid mingil kujul pakuvad: eira võrgu antud marsruute. Automaatse marsruudivastuvõtu väljalülitamine on kompromiss, sest see lülitab välja ka ettevõtte DHCP-serveri seadusliku jagatud marsruutimise, seega otsustage see võrguklassi kaupa, mitte ülemaailmselt.

Viies samm: eraldage teade praegusest versioonist

Avaldatud rünnak kirjeldab käitumist, mida täheldati teatud kliendiversioonidel teatud ajal. See ei tõesta, et teie ees olev sülearvuti on mõjutatud, ega tõesta, et see on parandatud. Mõlemad väited vajavad tegelikku versiooninumbrit ja tarnija praegust teadet.

Kirjutage üles kliendi versioon, platvorm, profiili sätted, mis juhivad ülaltoodud erandeid, ja kuupäev, millal kontrollisite. See kirje vananeb ausalt, samas kui märge, et VPN paigati TunnelCracki vastu, ei vanane ausalt. Lugege seda uuesti iga kliendi uuenduse järel, sest profiili vaikeväärtus võib muutuda versiooni all, mida te ei puutunud.

Kui te tõesti valideerite, kasutage heakskiidetud plaani oma lõppseadme ja kahjutu sihtkoha vastu. Rünnaku kordamine teiste kasutajate vastu jagatud võrgus ei ole test, ja partneri kontrolli või rakenduse krüpteerimise väljalülitamine vaatluse hõlbustamiseks eemaldab kaitse, mida te püüdsite mõõta.

Lõpuks hoidke rakendustasandi kaitset pildil. Marsruutimiserand võib paljastada liiklust, mida tunnel oleks kandnud, ja rakenduse TLS kaitseb seda liiklust endiselt otsast otsani. Kaks kihti ei vasta eraldi, mistõttu ühendatud juhtkanal ei ole tõestus, et iga voog läks ettenähtud teed.