Zure VPN atebidea konprometituta dago: zer dago benetan agerian
Hackeatutako VPN atebideak bere tunelaren barrura ikusten du, baina hori ez da saio guztien jabetza. Bereizi trafikoa, irismena eta gordetako sekretuak berreskuratu aurretik.
VPN atebidea babesten duen tunelaren amaieran dago, hau da, enkriptatze hori bertan amaitzen du, ez du pasatzen uzten. Erasotzaile batek ostalaria kontrolatzen badu, tunelak kanpotik osasuntsu dirudi, erdiko makina, berriz, ez da fidagarria orain. Galdera erabilgarria ez da dena deszifratzen den ala ez. Hau da: zer ikusi zezakeen ostalari horrek, noraino irits zitekeen eta zein sekretu zeuden benetan gordeta bertan. Hiru erantzun horiek asko aldatzen dira, eta erantzunak berarekin aldatzen dira.
Atebideak tunela amaitzen du, beraz barrura ikusten du
VPN batean enkriptatzeak jauzi batetik bestera egiten du, eta atebidea da jauzia. Kanpoko geruza kentzen du, politika aplikatzen du eta barneko paketea birbidaltzen du, beraz garraiatutako pakete bakoitza une batean irakurgarri dago ostalari horren memorian. Hori da diseinua eta ez akatsa. Horregatik, atebidea konprometitzea beste gertaera bat da tunelaren kriptografia konprometitzea baino.
Erasotzaileak lehenik irabazten duena posizioa da: garraiatutako trafikoa behatzeko, birbidaltzea aldatzeko edo backend baten ordez erantzuteko gaitasuna. Geroago zer irabazten duen ostalariaren araberakoa da, eta hemen jendeak gehiegi pentsatzen du. Atebiderako sarbideak bakarrik ez ditu ematen nabigatzailearen TLS saio-gakoak, horiek ez baitzeuden inoiz atebidean.
Tamaina ezberdineko hiru erakuspen
Zatitu galdera garraiatutako trafikoan, sistema irisgarrietan eta gordetako sekretuetan, eta gero erantzun bakoitzari bere aldetik.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Erdiko errenkada da saltatzen dena. Atebide batek normalean bide bat izaten du sare pribatuetara eta backendek jadanik fidatzen duten iturburu-helbide bat, beraz galdera interesgarria da backend horiek helbide horretatik zer baimentzen duten. Bezeroen sarbide-politika estua kontrola ona da, baina ostalarian dagoen erasotzailea ez dago bezero arrunt batek erabiliko lukeen interfazera mugatuta.
Beheko errenkadak erabakitzen du zenbat irauten duen gertaerak. Zerbitzari-gako batek eta CA-gako batek eragin-erradio guztiz ezberdinak dituzte, eta baita tokiko administrazio-kontu batek eta irakurtzeko soilik den monitorizazio-token batek ere.
Tunelaren barruko HTTPS oraindik HTTPS da
Aplikazioaren TLS aplikazioan amaitzen da, ez VPN atebidean, beraz atebide konprometitu batek zifratutako testua ikusten du fluxu horietarako. Hori muga erreala da erasotzaileak lortzen duenarentzat, eta argi esateko modukoa da, aurkako baieztapenak izua eta erabaki txarrak barreiatzen baititu. Bi baldintzak hausten dute. Ibilbidean ziurtagiri fidagarria duen ikuskapen-osagai bat badago, atebideak testu arrunta ikus dezake diseinuaren arabera. Aplikazioaren amaierako puntua bera konprometituta badago, tunela ez da garrantzitsua.
Beraz, zer ikusi zuten galderaren erantzuna baldintzapekoa da, eta baldintza gisa idatzi behar litzateke, epai gisa iragarri beharrean.
Zer aldatu behar da berriro fidatu aurretik
Ostalaria berreraikitzea beharrezkoa da eta gutxitan nahikoa. Oraindik kudeaketa-kontu bat, hedapen-kredentzial bat edo sinadura-gako bat duen erasotzaile batek ostalaria bere nahiera itzul dezake. Berreskurapenak konprometitutako makinaren menpe ez dagoen administrazio-bide batetik hasi behar du.
Erabaki zer biratu aurretik, egin inbentarioa bertan zer zegoen. Gakoak, zerbitzu-kontuak, API tokenak, tokiko erabiltzaileak, programatutako lanak, konfiantza-harremanak eta hedapen-pipelinea hautagai guztiak dira, eta bakoitzak berresteko arduradun bat du.
ss -lntup
getent passwd
crontab -l
ip route show table allZerrenda hori da modurik azkarrena ostalariak zer eskaintzen zuen eta noraino irits zitekeen ikusteko. Gorde lehenik frogak, erantzunaren arduradunaren prozesuaren arabera, berreraikuntzak ikerketa batek behar duen zehazki suntsitzen baitu. NIST SP 800-61 Berrikuspena 3 prestakuntza, detekzioa, erantzuna eta berreskurapena arrisku-prozesu bakarraren zati gisa hartzen ditu, berrabiarazteko argibide gisa eta ez.
Hurrengoa merkeago egiten duten mugak
Lau muga eraikitzea merezi du behar izan aurretik. Mantendu atebidearen bidez autentifikatzen ez den berreskurapen-bide independente bat. Mantendu sinadura-autoritatea trafikoa zerbitzatzen duen ostalaritik bereizita. Mugatu atebidea noraino irits daitekeen, atebide konprometitu bat ez dadin automatikoki kudeaketa-sare konprometitua izan. Eta erregistratu nor den kredentzial bakoitzaren jabea, biraketa telefono-dei bat izan dadin arkeologia-proiektu bat izan beharrean.
Horiek batek ere ez du konpromisoa eragozten. Mugatu egiten dute, eta aste txar baten eta hiruhileko txar baten arteko aldea egiten dute.