Koskeeko CVE-2019-14899 sinua? Ytimen tarkistuslista

Skanneri merkitsee CVE-2019-14899:n koneelle, joka on käyttänyt VPN:ää vuosia, ja ensimmäinen vaisto on julistaa VPN rikki. Se on väärä kehys. Julkaistu ongelma koskee hyökkääjää uhrin lähiverkossa, joka päättelee tietoja tietyistä TCP-yhteyksistä, ei verkkosivustoa, joka purkaa tunnelisi salauksen.

Käy alla olevat neljä tarkistusta läpi järjestyksessä. Jokainen joko rajaa ongelmaa tai päättää tutkinnan.

Tarkistus 1: kattaako tiedote ytimesi

Etsi oman jakelusi oma merkintä, älä blogin yhteenvetoa julkaisupäivästä. Ubuntun tietoturvasivu tälle CVE:lle luettelee 18.04 LTS:n yleisen linux-paketin haavoittuvaksi korjauksen ollessa lykätty ja seuraa muita ydinpaketteja eri riveillä. Sovita käynnissä oleva julkaisusi ja ydinpakettisi oikeaan riviin. Tutulta näyttävä versionumero ei ole osuma.

Skannerin osuma tarkoittaa, että tunniste koskee jotain inventaariossasi. Se ei tarkoita, että naapurilaite olisi hyödyntänyt konetta.

Tarkistus 2: kuka on mallin hyökkääjä

Uhkamalli olettaa viereisen hyökkääjän, joka voi toimia uhrin liityntäverkon kanssa. Se on tietty asema, ei mielivaltainen etäpalvelu, joka ei pidä lähtösolmestasi. Jos käyttäjät yhdistävät kahvilasta, oletus on realistinen; jos he istuvat hallitun yrityksen lähiverkon takana, se on toinen keskustelu.

Pidä lähiverkon luottamuskysymys avoinna, vaikka tunneli olisi salattu. Salaus vastaa eri kysymykseen kuin viereisyys.

Tarkistus 3: mihin kerrokseen luotat

Oikein validoitu HTTPS antaa oman suojansa sovellustietueille, ja TLS 1.3 todentaa nämä tiedot päästä päähän. Se ei lupaa, ettei hyökkääjä voi keskeyttää taustalla olevaa TCP-yhteyttä. Sovellus voi siis olla turvallinen lukea ja silti keskeytettävissä, eikä keskeytys ole sama tulos kuin paljastuminen. Erottele nämä kaksi ennen riskin arviointia.

Tämä ero on tärkeä raportille. Se muuttaa epämääräisen väitteen VPN:n turvattomuudesta rajatuksi lauseeksi siitä, mitä viereinen hyökkääjä voisi havaita tai keskeyttää.

Tarkistus 4: minkä torjuntakeinon todella otit käyttöön

Julkaisu käsittelee reitityksen ja suodatuksen torjuntakeinoja ja on selkeä niiden rajoista, mukaan lukien käänteisen polun suodatus ja epäsymmetriset reitit. Älä liimaa yhtä sysctl-arvoa jokaiseen VPN-isäntään ja sano sitä korjatuksi. Käänteisen polun suodatus vaikuttaa reititykseen, joten yhtä topologiaa auttava arvo voi rikkoa toisen.

Tarkistus on komento, ei valintaruutu. sysctl net.ipv4.conf.all.rp_filter näyttää yleisarvon ja sysctl net.ipv4.conf.tun0.rp_filter näyttää liitäntäkohtaisen arvon, joka tosiasiassa pätee. Lue molemmat ennen muutosta ja sen jälkeen.

Käytä jakelun ohjeita ja omaa reitityssuunnitelmaasi ja vahvista asetus liitännässä, joka kuljettaa tunnelia, ei tiedostossa, jota kukaan ei ladannut.

Mitä kirjata

Kirjaa viereisen hyökkääjän oletus, käynnissä oleva ydinpaketti, sovitettu tiedoterivi, käyttöön otettu torjuntakeino ja sen sovelluskohta sekä olemassa olevat sovellussuojat. Lisää päivä, jolloin tarkistit tiedotteen, koska ne sivut muuttuvat. Tämä yhdistelmä on puolustettava arvio.

Käyttöjärjestelmän julkaisupäivä ja toimiva VPN-yhteys eivät ole arvio. Ne ovat kaksi tosiasiaa, jotka sattuvat olemaan helppo kerätä.