آیا CVE-2019-14899 شما را تحت تأثیر قرار داده است؟ یک فهرست بررسی برای هسته

یک پویشگر CVE-2019-14899 را روی ماشینی که سال‌ها VPN اجرا کرده علامت می‌زند و نخستین واکنش این است که VPN را خراب اعلام کنیم. این چارچوب اشتباهی است. مسئله افشاشده درباره مهاجمی در شبکه محلی قربانی است که درباره برخی اتصال‌های TCP اطلاعاتی استنتاج می‌کند، نه درباره وب‌سایتی که تونل شما را رمزگشایی کند.

چهار بررسی زیر را به ترتیب انجام دهید. هر یک یا مسئله را محدود می‌کند یا پژوهش را پایان می‌دهد.

بررسی 1: آیا هشدار هسته شما را پوشش می‌دهد

سابقه توزیع خودتان را ببینید، نه خلاصه یک وبلاگ از تاریخ انتشار. صفحه امنیتی Ubuntu برای این CVE بسته عمومی linux برای 18.04 LTS را آسیب‌پذیر با اصلاح به تعویق افتاده فهرست می‌کند و بسته‌های هسته دیگر را در ردیف‌های جداگانه پی می‌گیرد. انتشار در حال اجرا و بسته هسته خود را با ردیف درست تطبیق دهید. شماره نسخه‌ای که آشنا به نظر می‌رسد تطبیق نیست.

یافته پویشگر یعنی شناسه به چیزی در فهرست دارایی شما مربوط است. یعنی دستگاه همسایه از ماشین بهره‌برداری کرده است، نیست.

بررسی 2: مهاجم در مدل کیست

مدل تهدید مهاجم مجاور را فرض می‌کند که می‌تواند با شبکه دسترسی قربانی تعامل کند. این جایگاه مشخصی است، نه یک سرویس راه دور دلبخواه که گره خروجی شما را دوست ندارد. اگر کاربران از کافه متصل شوند فرض واقع‌بینانه است؛ اگر پشت شبکه محلی شرکتی مدیریت‌شده باشند گفت‌وگوی دیگری است.

پرسش اعتماد به شبکه محلی را باز نگه دارید حتی وقتی تونل رمزگذاری شده است. رمزگذاری به پرسشی متفاوت از همسایگی پاسخ می‌دهد.

بررسی 3: به کدام لایه تکیه می‌کنید

HTTPS که درست اعتبارسنجی شده باشد محافظت خود را برای رکوردهای برنامه فراهم می‌کند و TLS 1.3 آن داده را سرتاسر احراز می‌کند. اما تضمین نمی‌کند که مهاجم نتواند اتصال TCP زیرین را قطع کند. پس یک برنامه می‌تواند برای خواندن امن باشد و در همان حال قابل قطع، و قطع همان نتیجه افشا نیست. پیش از ارزیابی خطر این دو را جدا کنید.

این تمایز برای گزارش مهم است. ادعای مبهم که VPN ناامن است را به بیانی محدود درباره آنچه مهاجم مجاور می‌تواند ببیند یا قطع کند تبدیل می‌کند.

بررسی 4: واقعاً کدام اقدام کاهشی را مستقر کردید

افشا درباره اقدام‌های کاهشی مسیریابی و فیلتر کردن بحث می‌کند و درباره محدودیت‌هایشان صریح است، از جمله فیلتر مسیر معکوس و مسیرهای نامتقارن. یک مقدار sysctl را روی هر میزبان VPN نچسبانید و آن را حل‌شده نخوانید. فیلتر مسیر معکوس با مسیریابی تعامل دارد، پس مقداری که به یک توپولوژی کمک می‌کند می‌تواند دیگری را بشکند.

بررسی یک فرمان است، نه یک کادر تیک. sysctl net.ipv4.conf.all.rp_filter مقدار سراسری را نشان می‌دهد و sysctl net.ipv4.conf.tun0.rp_filter مقدار هر رابط را که واقعاً اعمال می‌شود نشان می‌دهد. پیش و پس از هر تغییر هر دو را بخوانید.

از راهنمای توزیع و طراحی مسیریابی خودتان استفاده کنید، سپس تنظیم را روی رابطی که تونل را حمل می‌کند تأیید کنید، نه در فایلی که هیچ‌کس بارگذاری نکرده است.

چه چیزی را ثبت کنید

فرض مهاجم مجاور، بسته هسته در حال اجرا، ردیف هشداری که تطبیق دادید، اقدام کاهشی مستقرشده و جای اعمال آن، و محافظت‌های برنامه موجود را ثبت کنید. تاریخ بررسی هشدار را بیفزایید، چون آن صفحه‌ها تغییر می‌کنند. این ترکیب ارزیابی قابل دفاعی است.

تاریخ انتشار سیستم‌عامل و اتصال VPN کارکننده ارزیابی نیستند. دو واقعیتی هستند که تصادفاً گردآوری‌شان آسان است.