TunnelCrack eta TunnelVision: zer hausten du benetan bakoitzak

Bi ikerketa-izen txandaka erabiltzen dira tunela uzten duen edozein VPN trafikorako, baina haien atzeko mekanismoak ez dira berdinak. TunnelCrackek bideratze-salbuetsen bi familia deskribatzen ditu; TunnelVisionek DHCPk amaierako gailuan ematen duen ibilbide bat deskribatzen du. Batak ez du zifratzea hausten, eta batek ez dizu esaten bezeroaren bertsio jakin batek gaur egun zer egiten duen. Bost egiaztapenek mekanismoak izenburutik bereizten dituzte.

Lehen urratsa: izenda ezazu aztertzen ari zaren mekanismoa

2023ko abuztuko TunnelCrack agerraldiak eraso-familia bi deskribatzen ditu. Sare lokaleko kasuan, bezeroak sare lokalaren parte dela uste duen trafikoak sarbide lokaleko salbuespen bat hartzen du eta tunela uzten du. Zerbitzariaren helbidearen kasuan, bezeroak VPN zerbitzarira iristeko behar duen ibilbidea tunelaren kanpoan dago, eta helbide hori kontrolatzen duen aurkari batek salbuespena balia dezake.

TunnelVision DHCPk emandako klase gabeko ibilbide estatikoen inguruko txosten bereizia da. DHCP zerbitzari maltzur batek amaierako gailuari trafikoak hartzen duen bidea aldatzen duten ibilbideak eman diezazkioke, VPN zerbitzarirako bidea barne. Txostenak bideratze-efektu erlazionatuei buruzko aurretiko lana aitortzen du, eta horrek gogorarazten du azpiko mekanismoa izena baino zaharragoa dela.

Eutsi izenei beren mekanismoei lotuta. Bati konponketa bat aplikatzea besteak albisteetan dagoelako da berrikuspen batek estaldura gabe mugimendua sortzen duen modua.

Bigarren urratsa: begiratu sarbide lokaleko salbuespena

Bezero gehienek sare lokaleko trafikoa salbuesten dute inprimagailuek, islapenak eta fitxategi-partekatzekoak tunela aktibo dagoen bitartean funtzionatzen jarrai dezaten. Salbuespen hori segurtasun-kostua duen politika-erabakia da: sare bereko aurkari batek bertako ostalari gisa aurkez dezake bere burua, eta hara iristen den trafikoak ez zuen inoiz tunela sartu.

Galdetu inplementatutako profilek salbuespena behar duen ala ez. Inoiz tokiko aurkikuntza erabiltzen ez duen urrutiko langile-talde batek sarritan desaktiba dezake, eta gainerako tokiko zerbitzuak dokumentatutako bide batetik irits daitezke. Salbuespena beharrezkoa den lekuan, esan zein helmuga estaltzen dituen, tokiko trafiko gisa deskribatu beharrean.

Egiaztapena konfigurazio-galdera da, ez pakete-kaptura. Irakurri profilaren ezarpena eta inplementatzen duzun bertsioaren bezero-dokumentazioa, balio lehenetsia produktuen artean eta produktu beraren bertsioen artean desberdina delako. Idatzi erantzuna profilaren alboan, hurrengo berrikusleak jokabidetik ondorioztatu behar ez dezan. Inork dokumentatu ez duen salbuespena inork berrikusten ez duen salbuespena da.

Hirugarren urratsa: begiratu nola ikasten den zerbitzariaren helbidea

Bezeroak VPN zerbitzarira iritsi behar du inongo tunel existitu aurretik, beraz helmuga hori tunelaren kanpora bideratzen da diseinuz. Helbidea izen batetik ikasten bada, ebazpen-urratsa konfiantza-bidearen parte da, eta galdera horri erantzun diezaiokeen aurkari batek kontrolatzen duen ostalari batera bidera dezake bezeroa.

Helbidea finkatzeak, izen egokiko ziurtagiri egiaztatua erabiltzeak eta egiaztatu gabeko zerbitzari batera erortzeari uko egiteak guztiek esposizioa murrizten dute. Horietako batek ere ez du tunelaren kanpoan zerbitzarira iristeko beharra kentzen; helbide horren erantzule nor izan daitekeen aldatzen dute.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Ibilbide-kontsultak bezeroak zerbitzariaren helbiderako erabiliko lukeen interfazea erakusten du, hau da, salbuespena forma zehatzean. Kontsulta horrek tunelaren interfazea itzultzen badu, bezeroak ezin du tunela ezarri ere egin, beraz kanpoko ibilbidea espero da eta galdera haren helmuga nola aukeratzen den da soilik.

Laugarren urratsa: begiratu DHCPk ematen dituen ibilbideak

Klase gabeko ibilbide estatikoek DHCP zerbitzariari bideratze-taularen sarrerak banatzeko aukera ematen diote, eta amaierako gailuak normalean galdetu gabe onartzen ditu. Aurkari batek zerbitzari zilegiak baino arinago DHCPri erantzun diezaiokeen sare batean, sarrera horiek erabiltzaileak tunelaren barruan uste duen trafikoa birbidera dezakete.

Konparatu amaierako gailuko ibilbideak espero dituzun ibilbideekin. Tunela aktibo dagoen bitartean tokiko atebidera seinalatzen duen ibilbide lehenetsia edo aurrizki zabala da ikertzea merezi duen sinadura, eta erasoko trafikorik gabe ikus daiteke.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Azken ezarpena bezero eta plataforma askok nolabait agertzen duten amaierako gailuaren aldeko kontrola da: sareak emandako ibilbideak ez ikusi. Ibilbide-onarpen automatikoa desaktibatzea truke bat da, enpresako DHCP zerbitzari baten zatiketa-bideratze zilegia ere desaktibatzen baitu, beraz sare-klasearen arabera erabaki, ez globalean.

Bosgarren urratsa: bereizi jakinarazpena uneko bertsiotik

Argitaratutako erasoa une jakin batean bezero-bertsio jakin batzuetan behatutako jokabidea deskribatzen du. Ez du frogatzen aurrean duzun eramangarria kaltetuta dagoenik, eta ez du frogatzen konponduta dagoenik. Bi baieztapenek benetako bertsio-zenbakia eta saltzailearen uneko jakinarazpena behar dituzte.

Erregistratu bezeroaren bertsioa, plataforma, goiko salbuespenak gobernatzen dituzten profil-ezarpenak eta egiaztatu zenuen data. Erregistro hori zintzotasunez zahartzen da, baina VPN TunnelCrackengatik adabakitu zela dioen oharra ez. Irakurri berriro bezeroa eguneratzen den bakoitzean, profilaren balio lehenetsia ukitu ez duzun bertsio baten pean alda baitaiteke.

Benetan baliozkotzen duzunean, erabili plan onartu bat zure amaierako gailuaren eta helmuga kaltegabe baten aurka. Partekatutako sare batean beste erabiltzaileen aurkako erasoa erreproduzitzea ez da proba bat, eta pare-egiaztapena edo aplikazioaren zifratzea desaktibatzea behaketa errazteko, neurtzen saiatzen ari zinen babesa kentzen du.

Azkenik, eduki aplikazio-mailako babesa irudian. Bideratze-salbuespen batek tunelak eramango lukeen trafikoa ager dezake, eta aplikazioko TLSek trafiko hori muturretik muturrera babesten jarraitzen du. Bi geruzek independenteki huts egiten dute, eta horregatik konektatutako kontrol-kanal bat ez da fluxu guztiek aurreikusitako bidea hartu zutenaren froga.