TunnelCrack ja TunnelVision: mitä kumpikin oikeasti rikkoo

Kahta tutkimusnimeä käytetään ristiin mistä tahansa tunnelista poistuvasta VPN-liikenteestä, mutta niiden taustalla olevat mekanismit eivät ole samat. TunnelCrack kuvaa kahta reitityspoikkeusten perhettä; TunnelVision kuvaa DHCP:n päätelaitteelle toimittamaa reittiä. Kumpikaan ei riko salausta, eikä kumpikaan kerro, mitä tietty asiakasversio tekee tänään. Viisi tarkistusta erottaa mekanismit otsikosta.

Ensimmäinen vaihe: nimeä mekanismi, jota tarkastat

TunnelCrackin elokuun 2023 paljastus kuvaa kahta hyökkäysperhettä. Paikallisverkon tapauksessa liikenne, jonka asiakas katsoo kuuluvan paikallisverkkoon, saa paikallisen käytön poikkeuksen ja poistuu tunnelista. Palvelimen osoitteen tapauksessa reitti, jonka asiakas tarvitsee päästäkseen itse VPN-palvelimeen, on tunnelin ulkopuolella, ja vastustaja, joka hallitsee tätä osoitetta, voi hyödyntää poikkeusta.

TunnelVision on erillinen raportti luokattomista staattisista reiteistä, jotka DHCP toimittaa. Pahantahtoinen DHCP-palvelin voi antaa päätelaitteelle reittejä, jotka muuttavat liikenteen kulkemaa polkua, mukaan lukien polun VPN-palvelinta kohti. Raportti tunnustaa aiemman työn vastaavista reititysvaikutuksista, mikä muistuttaa, että taustalla oleva mekanismi on nimeä vanhempi.

Pidä nimet kiinni mekanismeissaan. Korjauksen soveltaminen toiselle siksi, että toinen on uutisissa, on tapa, jolla tarkastus tuottaa liikettä ilman kattavuutta.

Toinen vaihe: katso paikallisen käytön poikkeusta

Useimmat asiakkaat vapauttavat paikallisverkon liikenteen, jotta tulostimet, näytön siirto ja tiedostojen jakaminen toimivat edelleen tunnelin ollessa päällä. Tämä poikkeus on poliittinen päätös, jolla on turvallisuushinta: samassa verkossa oleva vastustaja voi esiintyä paikallisena isäntänä, eikä sitä kohti tuleva liikenne ole koskaan tullut tunneliin.

Kysy, tarvitseeko käyttöön otettu profiili poikkeusta lainkaan. Etätyövoima, joka ei koskaan käytä paikallista löytämistä, voi usein kytkeä sen pois, ja jäljellä oleviin paikallisiin palveluihin voi päästä dokumentoitua polkua pitkin. Jos poikkeus vaaditaan, kerro, mitkä kohteet se kattaa, sen sijaan että kuvailisit sitä paikalliseksi liikenteeksi.

Tarkistus on kokoonpanokysymys, ei pakettien kaappaus. Lue profiilin asetus ja asiakasohjeet sen version osalta, jonka otat käyttöön, koska oletusarvo eroaa tuotteiden ja saman tuotteen versioiden välillä. Kirjoita vastaus profiilin viereen, jotta seuraavan tarkastajan ei tarvitse päätellä sitä käyttäytymisestä. Poikkeus, jota kukaan ei dokumentoinut, on poikkeus, jota kukaan ei tarkasta.

Kolmas vaihe: katso, miten palvelimen osoite opitaan

Asiakkaan on päästävä VPN-palvelimeen ennen kuin mitään tunnelia on olemassa, joten tämä kohde reititetään suunnittelun mukaan tunnelin ulkopuolelle. Jos osoite opitaan nimestä, selvitysvaihe on osa luottamuspolkua, ja vastustaja, joka voi vastata tähän kyselyyn, voi ohjata asiakkaan isäntään, jota se hallitsee.

Osoitteen kiinnittäminen, oikealla nimellä vahvistetun varmenteen käyttö ja kieltäytyminen putoamasta vahvistamattomaan palvelimeen vähentävät kaikki altistusta. Mikään niistä ei poista tarvetta päästä palvelimeen tunnelin ulkopuolelta; ne muuttavat sitä, kuka voi vastata tästä osoitteesta.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Reittihaku näyttää liitännän, jota asiakas käyttäisi palvelimen osoitteeseen, ja se on poikkeus konkreettisessa muodossa. Jos haku palauttaa tunnelin liitännän, asiakas ei voi edes muodostaa tunnelia, joten ulkoinen reitti on odotettavissa ja kysymys on vain siitä, miten sen kohde valitaan.

Neljäs vaihe: katso DHCP:n toimittamia reittejä

Luokattomat staattiset reitit antavat DHCP-palvelimen jakaa reititystaulun merkintöjä, ja päätelaite hyväksyy ne yleensä kysymättä. Verkossa, jossa vastustaja voi vastata DHCP:hen nopeammin kuin laillinen palvelin, nämä merkinnät voivat ohjata uudelleen liikennettä, jonka käyttäjä uskoo olevan tunnelin sisällä.

Vertaa päätelaitteen reittejä reitteihin, joita odotat. Oletusreitti tai laaja etuliite, joka osoittaa paikalliseen yhdyskäytävään tunnelin ollessa päällä, on tutkimisen arvoinen tunnusmerkki, ja se näkyy ilman mitään hyökkäysliikennettä.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Viimeinen asetus on päätelaitteen puoleinen hallinta, jonka monet asiakkaat ja alustat tarjoavat jossain muodossa: jätä huomiotta verkon toimittamat reitit. Automaattisen reittien hyväksynnän poistaminen on kompromissi, koska se poistaa myös yrityksen DHCP-palvelimen laillisen jaetun reitityksen, joten päätä se verkkoluokittain, ei maailmanlaajuisesti.

Viides vaihe: erota tiedote nykyisestä versiosta

Julkaistu hyökkäys kuvaa käyttäytymistä, joka havaittiin tietyissä asiakasversioissa tiettynä aikana. Se ei osoita, että edessäsi oleva kannettava on altistunut, eikä se osoita, että se on korjattu. Molemmat väitteet tarvitsevat todellisen koontiversion numeron ja toimittajan nykyisen tiedotteen.

Kirjaa asiakasversio, alusta, poikkeuksia yllä ohjaavat profiiliasetukset ja päivä, jolloin tarkistit. Tämä kirjaus vanhenee rehellisesti, kun taas merkintä siitä, että VPN paikattiin TunnelCrackia vastaan, ei vanhene rehellisesti. Lue se uudelleen aina, kun asiakas päivittyy, koska profiilin oletusarvo voi muuttua version alla, johon et koskenut.

Kun todella validoit, käytä hyväksyttyä suunnitelmaa omaa päätelaitettasi ja vaaratonta kohdetta vastaan. Hyökkäyksen toistaminen muita käyttäjiä vastaan jaetussa verkossa ei ole testi, ja vertaisverifioinnin tai sovelluksen salauksen poistaminen havainnon helpottamiseksi poistaa sen suojan, jota yritit mitata.

Lopuksi pidä sovellustason suojaus kuvassa. Reitityspoikkeus voi paljastaa liikennettä, jota tunneli olisi kuljettanut, ja sovelluksen TLS suojaa tätä liikennettä edelleen päästä päähän. Kaksi kerrosta pettää toisistaan riippumatta, minkä vuoksi yhdistetty hallintakanava ei ole todiste siitä, että jokainen virta kulki aiottua polkua.