دروازه VPN شما در معرض نفوذ است: چه چیزی واقعاً افشا می‌شود
یک دروازه VPN هک‌شده داخل تونل خودش را می‌بیند، اما این به معنای تسلط بر هر نشست نیست. پیش از بازیابی، ترافیک، دسترسی و اسرار ذخیره‌شده را از هم جدا کنید.
دروازه VPN در انتهای تونلی قرار می‌گیرد که از آن محافظت می‌کند، یعنی همان رمزنگاری را پایان می‌دهد، نه اینکه آن را عبور دهد. اگر مهاجم میزبان را کنترل کند، تونل از بیرون سالم به نظر می‌رسد، در حالی که دستگاه میانی دیگر قابل اعتماد نیست. پرسش سودمند این نیست که آیا همه چیز رمزگشایی می‌شود. پرسش این است که آن میزبان چه چیزی می‌توانست ببیند، تا کجا می‌توانست برسد و چه اسراری واقعاً روی آن ذخیره شده بود. این سه پاسخ بسیار متفاوت‌اند و واکنش نیز همراه با آن‌ها متفاوت است.
دروازه تونل را پایان می‌دهد، پس داخل آن را می‌بیند
رمزنگاری در VPN گام‌به‌گام است و دروازه همان گام است. لایه بیرونی را برمی‌دارد، سیاست را اعمال می‌کند و بسته درونی را هدایت می‌کند، بنابراین هر بسته انتقال‌یافته زمانی در حافظه آن میزبان به شکل خوانا وجود دارد. این طراحی است، نه نقص. به همین دلیل نفوذ به دروازه رویدادی متفاوت از نفوذ به رمزنگاری تونل است.
نخستین چیزی که مهاجم به دست می‌آورد موقعیت است: توانایی مشاهده ترافیک انتقال‌یافته، تغییر هدایت یا پاسخ دادن به جای یک بک‌اند. آنچه در ادامه به دست می‌آورد به میزبان بستگی دارد و اینجا مردم بیش‌برآورد می‌کنند. دسترسی به دروازه به‌تنهایی کلیدهای نشست TLS مرورگر را تحویل نمی‌دهد، چون هرگز روی دروازه نبوده‌اند.
سه افشای نابرابر
پرسش را به ترافیک انتقال‌یافته، سامانه‌های قابل دسترسی و اسرار ذخیره‌شده تقسیم کنید و سپس به هر یک جداگانه پاسخ دهید.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
ردیف میانی همان است که نادیده گرفته می‌شود. دروازه معمولاً مسیری به شبکه‌های خصوصی و نشانی مبدأیی دارد که بک‌اندها از پیش به آن اعتماد دارند، پس پرسش جالب این است که آن بک‌اندها از آن نشانی چه چیزی را مجاز می‌دانند. سیاست تنگ دسترسی کارخواه کنترل خوبی است، اما مهاجم روی میزبان به رابطی که یک کارخواه عادی استفاده می‌کرد محدود نیست.
ردیف پایین تعیین می‌کند که رویداد چه مدت طول می‌کشد. کلید سرور و کلید CA شعاع اثر کاملاً متفاوتی دارند، و همچنین حساب مدیر محلی و توکن پایش فقط‌خواندنی.
HTTPS درون تونل هنوز HTTPS است
TLS برنامه در خود برنامه پایان می‌یابد، نه در دروازه VPN، پس دروازه در معرض نفوذ برای آن جریان‌ها فقط متن رمزشده می‌بیند. این محدودیت واقعی چیزی است که مهاجم به دست می‌آورد و ارزش دارد صریح گفته شود، چون ادعای مقابل ترس و تصمیم‌های بد را می‌پراکند. دو شرط آن را می‌شکند. اگر مؤلفه بازرسی با گواهی معتبر در مسیر باشد، دروازه ممکن است بنا به طراحی متن روشن ببیند. اگر خود نقطه پایانی برنامه در معرض نفوذ باشد، تونل بی‌ربط است.
بنابراین پاسخ به اینکه چه دیدند شرطی است و باید به‌صورت شرط نوشته شود، نه به‌عنوان حکم اعلام گردد.
چه چیزی باید تغییر کند پیش از آنکه دوباره به آن اعتماد کنید
بازسازی میزبان ضروری است و به‌ندرت کافی. مهاجمی که هنوز حساب مدیریتی، اعتبارنامه استقرار یا کلید امضا در اختیار دارد می‌تواند میزبان را به دلخواه خود برگرداند. بازیابی باید از مسیر مدیریتی آغاز شود که به دستگاه در معرض نفوذ وابسته نیست.
پیش از تصمیم درباره آنچه باید چرخانده شود، فهرستی از آنچه روی آن بود تهیه کنید. کلیدها، حساب‌های سرویس، توکن‌های API، کاربران محلی، کارهای زمان‌بندی‌شده، روابط اعتماد و خط لوله استقرار همه نامزد هستند و هر یک مالکی دارد که باید آن را تأیید کند.
ss -lntup
getent passwd
crontab -l
ip route show table allاین فهرست سریع‌ترین راه برای دیدن اینکه میزبان چه چیزی ارائه می‌داد و تا کجا می‌توانست برسد است. نخست شواهد را حفظ کنید، بر پایه فرایند مالک واکنش، چون بازسازی دقیقاً همان چیزی را نابود می‌کند که یک بررسی به آن نیاز دارد. NIST SP 800-61 بازنگری 3 آماده‌سازی، شناسایی، واکنش و بازیابی را بخش‌هایی از یک فرایند ریسک می‌داند، نه دستور راه‌اندازی دوباره.
مرزهایی که مورد بعدی را ارزان‌تر می‌کنند
چهار مرز ارزش ساختن پیش از نیاز را دارد. مسیر بازیابی مستقلی نگه دارید که از طریق دروازه احراز هویت نشود. اختیار امضا را از میزبانی که ترافیک را سرویس می‌دهد جدا نگه دارید. محدود کنید دروازه تا کجا می‌تواند برسد، تا دروازه در معرض نفوذ به‌طور خودکار شبکه مدیریت در معرض نفوذ نباشد. و ثبت کنید هر اعتبارنامه از آنِ کیست، تا چرخش یک تماس تلفنی باشد نه یک پروژه باستان‌شناسی.
هیچ‌یک از این‌ها مانع نفوذ نمی‌شود. آن را محدود می‌کند و تفاوت میان یک هفته بد و یک فصل بد را می‌سازد.