Teie VPN-lüüs on kompromiteeritud: mis on tegelikult paljastatud
Häkitud VPN-lüüs näeb oma tunnelisse, kuid see ei tähenda iga sessiooni valdamist. Enne taastamist eraldage liiklus, ulatus ja salvestatud saladused.
VPN-lüüs asub tunneli otsas, mida see kaitseb, mis tähendab, et see lõpetab selle krüpteerimise, mitte ei lase seda edasi. Kui ründaja kontrollib hosti, näib tunnel väljastpoolt endiselt terve, samal ajal kui keskel olev masin ei ole enam usaldusväärne. Kasulik küsimus ei ole, kas kõik dekrüpteeritakse. Küsimus on, mida see host võis näha, kuhu see võis pääseda ja millised saladused olid tegelikult sellele salvestatud. Need kolm vastust erinevad palju ja reaktsioon erineb koos nendega.
Lüüs lõpetab tunneli, seega näeb see sellesse sisse
Krüpteerimine VPN-is käib hüppeks hüppe haaval ja lüüs on see hüpe. See eemaldab väliskihi, rakendab poliitikat ja edastab sisemise paketi, nii et iga kantud pakett eksisteerib mingil hetkel loetaval kujul selle hosti mälus. See on disain, mitte viga. Seetõttu on lüüsi kompromiteerimine teine sündmus kui tunneli krüptograafia kompromiteerimine.
Esimene, mille ründaja võidab, on positsioon: võimalus jälgida kantud liiklust, muuta edastamist või vastata backend’i asemel. Mida ta järgmisena võidab, sõltub hostist, ja siin inimesed hindavad üle. Ainult lüüsile juurdepääs ei anna üle brauseri TLS-sessioonivõtmeid, sest need ei olnud kunagi lüüsil.
Kolm paljastust, mis ei ole sama suured
Jagage küsimus kantud liikluseks, kättesaadavateks süsteemideks ja salvestatud saladusteks ning vastake igaühele eraldi.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Keskmine rida on see, mis jäetakse vahele. Lüüsil on tavaliselt marsruut privaatvõrkudesse ja lähteaadress, mida backend’id juba usaldavad, seega huvitav küsimus on, mida need backend’id sellelt aadressilt lubavad. Kitsas kliendi juurdepääsupoliitika on hea kontroll, kuid hostil olev ründaja ei ole piiratud liidesega, mida tavaline klient kasutaks.
Alumine rida otsustab, kui kaua juhtum kestab. Serverivõti ja CA-võti on täiesti erineva mõjuraadiusega, samuti kohalik administraatori konto ja kirjutuskaitstud monitooringutoken.
HTTPS tunnelis on endiselt HTTPS
Rakenduse TLS lõpeb rakenduses, mitte VPN-lüüsil, seega kompromiteeritud lüüs jälgib nende voogude jaoks šifreeritud teksti. See on tõeline piir sellele, mida ründaja saab, ja seda tasub selgelt öelda, sest vastupidine väide levitab paanikat ja halbu otsuseid. Kaks tingimust murravad selle. Kui teel on usaldusväärse sertifikaadiga kontrollkomponent, võib lüüs disaini järgi näha lihtteksti. Kui rakenduse lõpp-punkt ise on kompromiteeritud, on tunnel asjakohatu.
Seega on vastus sellele, mida nad nägid, tingimuslik ja see tuleks kirja panna tingimustena, mitte kuulutada otsusena.
Mis peab muutuma, enne kui seda uuesti usaldate
Hosti ümberehitamine on vajalik ja harva piisav. Ründaja, kellel on veel halduskonto, juurutamise volitus või allkirjastamise võti, võib hosti tagasi panna nii, nagu tahab. Taastamine peab algama haldustee kaudu, mis ei sõltu kompromiteeritud masinast.
Enne, kui otsustate, mida pöörata, tehke inventuur sellest, mis sellel oli. Võtmed, teenusekontod, API-tokenid, kohalikud kasutajad, ajastatud tööd, usaldussuhted ja juurutamise konveier on kõik kandidaadid ja igaühel on omanik, kes peaks selle kinnitama.
ss -lntup
getent passwd
crontab -l
ip route show table allSee loend on kiireim viis näha, mida host pakkus ja kuhu see võis pääseda. Säilitage esmalt tõendid, vastuse omaniku protsessi järgi, sest ümberehitamine hävitab täpselt selle, mida uurimine vajab. NIST SP 800-61 Redaktsioon 3 käsitleb ettevalmistust, avastamist, reageerimist ja taastamist ühe riskiprotsessi osadena, mitte taaskäivitusjuhisena.
Piirid, mis teevad järgmise odavamaks
Neli piiri tasub ehitada enne, kui neid vajate. Hoidke sõltumatu taastamistee, mis ei autentitse lüüsi kaudu. Hoidke allkirjastamisõigus eraldi hostist, mis liiklust teenindab. Piirake, kuhu lüüs võib pääseda, et kompromiteeritud lüüs ei oleks automaatselt kompromiteeritud haldusvõrk. Ja registreerige, kellele iga volitus kuulub, et pööramine oleks telefonikõne, mitte arheoloogiaprojekt.
Ükski neist ei takista kompromiteerimist. Need piiravad seda ja teevad vahe halva nädala ja halva kvartali vahel.