UDP eskaneatzeak filtratuta dio: WireGuard parekidea benetan erorita dago?

Eskanerrek irekita edo filtratuta inprimatzen dute UDP ataka baterako, eta ondorioa segundotan etorri ohi da: tunela hautsi da. Agian bai, baina eskaneatzeak ez zuen hori frogatu. UDPk ez du konexio-esku-ematerik eramaten, eta WireGuarden ez du autentifikatu ezin duen ezeri erantzuten, beraz isiltasuna da zunda gehienentzako espero den erantzuna.

Horren ordez, bezerotik kanpora lan egin, eta hartu eskaneatzea datu-puntu ahul bat bezala beste batzuen artean.

Zer ikus dezakeen eskanerrak eta zer ez

UDP eskaner batek karga bat bidaltzen du eta itxaroten du. ICMP port-unreachable bat itzultzen bada, ataka itxita dagoela jakinaraz dezake. Ezer itzultzen ez bada, emaitza anbiguoa da diseinuz: bide filtratu batek, host ezezagun batek eta karga alde batera utzi zuen zerbitzu batek isiltasun bera sortzen dute. Hiru egoera desberdin, irteerako kate bakarra.

WireGuardek anbiguotasun hori areagotzen du nahita. Protokoloak pakete bat onartzen du autentifikatzen denean bakarrik, beraz gako okerrekin datorren zunda erantzunik gabe baztertzen da. Ez dago bannerrik, ez bertsio-katerik eta ez errore-mezurik hatz-marka hartzeko.

Ataka-zenbaki berean egindako TCP probak ez du erlazionatutako ezer probatzen. Existitu ez daitekeen beste entzule bat erabiltzen du, eta haren ukoak ez du UDPri buruz ezer esaten.

Beraz, irekita filtratuta dauden egoerek eskanerraren ziurgabetasuna deskribatzen dute zehazkiago, zure zerbitzaria baino.

Igo bezero erreala profiletik barrurantz

Hasi bezeroaren beraren ikuspegitik. Interfazeak helbide bat du, konfigurazioak amaiera-puntu zuzena izendatzen du, eta esku-ematearen kontagailua mugitzen da konexio bat saiatzen denean? Inoiz paketerik bidali ez zuen bezero batek eta paketeak baztertu zitzaizkion bezero batek berdinak dirudite egoera-leihoan. Kontagailuek soilik bereizten dituzte, beraz irakurri lehenengo kontagailuak.

Gero, begiratu zerbitzariaren aldea saiakera baimendu bat gertatzen den bitartean, hirugarren toki batetik eskaneatze bereizi bat exekutatu beharrean:

wg show wg0 latest-handshakes
tcpdump -n -i eth0 udp port 51820 -c 10

Lehen komandoak parekide bakoitzeko azken esku-ematea ematen du, hau da, autentifikatutako trukea osatu zela dioen froga zuzena. Bigarrenak erakusten du entzulearentzako paketeak iristen diren ala ez, eta horrek bide-arazoa konfigurazio-arazotik bereizten du urrats bakarrean.

Harrapaketak ezer erakusten ez badu, paketea ez zen inoiz hostera iritsi eta tunelaren konfigurazioa ez da susmagarria. Espero den helbidetik iristen diren paketeak erakusten baditu esku-ematea zerotik ez dela mugitzen, hurrengo begiratzeko tokia gakoak edo parekidearen baimendutako helbideak dira.

Korrelazioa egin zerbitzarian, hura administratzen duzunean

Egiaztatu entzulea existitzen dela eta hornitzailearen suebakiak UDP ataka uzten duela. Hosten suebaki-arau bat eta hodeiko segurtasun-talde bat bi ate independente dira, eta edozeinek bota dezake besteak utzitako paketea. Egiaztatu biak konfigurazioan dagoen benetako atakaren aurka, gogoratzen duzun atakaren aurka beharrean.

Helbideak atakaren garrantzi bera du. Helbide jakin batean entzuten duen zerbitzari batek ez dio beste batera iristen den pakete bati erantzungo, eta interfaze anitzeko host batek zunda nahi ez zenuen interfazean jaso dezake.

Eduki proba bakoitza probatzeko baimenduta dauden sistemetan. Konparazio baliagarria bezero-saiakera erreal baten eta espero den zerbitzari-bidearen artekoa da, ez hornitzaile berberari dagozkion helbideen miaketa zabalagoa.

Eskaneatze-emaitza zintzotasunez irakurtzea

Eskaneatzea modu merkea da host bat badela eta ataka bat ez duela bitarteko gailu batek nabarmen blokeatzen egiaztatzeko. Ez da autentifikatutako protokolo baten heltze-froga, eta ez da inola ere konfigurazio-proba.

Froga sendoena benetan axola zaizun bezeroaren esku-emate osatua da, eta gero tunela erabiltzen duen eta erantzuna jasotzen duen eskaera bat. Segida horrek gakoak, baimendutako helbideak, bi suebakiak eta itzulera-bidea probatzen ditu kolpe bakarrean.

Saiakera erreala huts egiten duenean, hutsegitea bezeroaren kontagailuekin eta zerbitzariaren harrapaketarekin diagnostikatu behar da oraindik, beste zunda batekin beharrean. Protokoloaren deskribapenak azaltzen du zergatik ez duen pakete autentifikatugabe batek erantzunik jasotzen, eta horixe da eskaneatze-emaitza anbiguoa izateko arrazoi osoa.