Zergatik VPN atakak blokeatzeak ez dituen baimenik gabeko tunelak gelditzen

Suhormaren arau batek bat datorren trafikoa ukatzen du. Ez du onartzen duen konexio baten erabilera oro ukatzen, eta hutsune horretan huts egiten dute baimenik gabeko tunelen aurkako politika gehienek. Duela bost urte ezaguna zen bezeroaren atakak blokeatzeak 443tik igarotzen den guztia ukitu gabe uzten du, eta bere ibilbideak berridazteko gai den gailu bati buruz ezer ez du esaten. Eraiki kontrola autoritatearen eta helmugen inguruan, eta gero irakurri benetan onartzen dituzun fluxuak.

Zergatik ataka-zerrenda ez den politika

Atakak garraio-geruzako kontzeptua dira, eta tunel-teknologia batzuek ez dute bat ere erabiltzen. Beste batzuek nahita partekatzen dute ataka bat web trafiko arruntarekin, ataka hori baita ziurtatuta pasatzen dena. Beraz, ataka historikoan oinarritutako arau batek inplementazio gutxi batzuk zerrendatzen ditu, ez jokabide-multzoa. Gaizki zahartzen da gainera: hornitzaile batek balio lehenetsiak aldatzen dituen unean, zerrendak iragana deskribatzen du.

Okerragoa dena, ataka bat ondo blokeatzeak arazo osoa konpondu dela dioen froga gisa irakur daiteke, eta horrek garrantzitsuak izango liratekeen kontrolak atzeratzen ditu.

Protokolo-zenbakiak eta atakak izen-espazio desberdinak dira

GREri IP protokoloaren 47 zenbakia esleitzen zaio. Ez da TCP 47 ataka eta ez da UDP 47 ataka, eta ataka baterako idatzitako iragazkiak ez du ukitzen. ESP eta AH protokolo-zenbaki 50 eta 51ean daude ezaugarri berarekin. Trafiko kapsulatuak konexio baimendu baten barruan ere ezkuta daiteke, horregatik kategoria edo sinadura batek lagun dezake, baina inoiz ez du helburua bere kabuz egiaztatzen. Konfiantza eta estaldura produktu eta bertsio jakin bati dagozkio, ez kontzeptuari.

nft list ruleset | grep -nE 'gre|esp|ah|47|50|51'
cat /proc/net/protocols | head -20
ss -tn state established '( dport = :443 )'

Lehen komandoak benetan idatzi duzuna erakusten du; bigarrenak pilak ezagutzen duen protokolo-taula erakusten du; hirugarrenak une honetan zenbat saio ari diren web ataka erabiltzen erakusten du. Horietako batek ere ez du esaten saio horiek zertarako diren. TLS atzematea erabaki bereizia da, konfiantza, pribatutasun eta bezeroarekiko bateragarritasun kostu propioekin. Ez da izendatutako helmuga bat ukatzeko aurretiko baldintza, eta ez da tunelak ezagutzeko bermea ere.

Kontrolatu gailuak duen autoritatea

Bere bideratze-taula eta iragazketa aldatzeko gai den gailuak aplikazio arruntak ez dituen gaitasunak ditu. Sarbide- eta konfigurazio-kudeaketak kentzen du gaitasun hori, eta tunelak zein ataka erabiliko zuen edozein dela ere jarduten du.

Horrek esan nahi du onartutako konexioek beren deklaratutako rola jasotzen dutela beste gailuentzat aurrera bidaltzeko baimen mugagabearen ordez, eta instalazio- eta sare-administrazio eskubideak politikaren parte direla, eta ez geroagoko pentsamendu bat.

Behatu geratzen diren fluxuak. Erau gailuaren identitatea, esleitutako rola eta fluxuaren metadatuak, eta tratatu sailkapena mugekin duen froga gisa, ez epai gisa.

conntrack -L | awk '{print $1, $4, $5}' | sort | uniq -c | sort -rn | head
ip -br addr show
ip route show default

Iraupen luzeko saio zifratuak edo byte-kopuru handiak ez du erabilera okerraren frogarik: babeskopiek, laguntza-tresnek eta guneen arteko loturek berdin dirudite. Mantendu bilketa ikerketaren barruan eta gorde aurkitzen duzuna hura duen prozesuaren pean.

Egin salbuespenak esplizitu

Ingurune bakoitzak eguneratzeetarako, autentifikaziorako eta berreskuratzeko irisgarri egon behar duten helmugak ditu. Idatzi itzazu helburu eta arduradunarekin, eta berrikusi itzazu, huts bat bestearen atzetik aurkitu ordez.

Negozioak benetan kanpoko zerbitzu zabal bat onartzen duenean, ebaluatu zerbitzu horrek ematen duen autoritatea, helmugaren etiketak edozein erabilera onargarri egiten duela suposatu ordez.

Berrikusi gabeko salbuespena txartel-zenbakia duen zuloa da. Izena, arrazoia eta berrikuste-data dituen salbuespena erabakia da.

Onartu idatzizko planarekin, ez leloarekin

Onarpenak bi erdi ditu: onartutako lanak oraindik arrakasta du, eta debekatutako kasu zehatzek huts egiten dute baimendutako proba batean. Biak aldaketaren aurretik idatzi eta haren ondoren errepikatu behar dira.

Sartu berrikuste horretan amaierako puntuen eta politikaren aldaketak, ordenagailu eramangarrian gehitutako ibilbide batek ertzean ezin hobeto funtzionatzen zuen iragazkia baliogabe dezakeelako.

Emaitza jabetzako irteera-muga bat da, gainerako arriskuaren zerrenda ezagunarekin. Ataka batzuk itxita VPN erabilera baimenik gabea amaitu zela esatea ez da hori.