VPN-yhdyskäytäväsi on vaarantunut: mitä todella on paljastunut
Hakattu VPN-yhdyskäytävä näkee oman tunnelinsa sisään, mutta se ei tarkoita jokaisen istunnon hallintaa. Erota liikenne, ulottuvuus ja tallennetut salaisuudet ennen palautusta.
VPN-yhdyskäytävä sijaitsee suojaamansa tunnelin päässä, mikä tarkoittaa, että se päättää kyseisen salauksen sen sijaan että päästäisi sen läpi. Jos hyökkääjä hallitsee isäntää, tunneli näyttää ulkopuolelta edelleen terveeltä, vaikka keskellä oleva kone ei ole enää luotettava. Hyödyllinen kysymys ei ole, salataanko kaikki auki. Vaan mitä tuo isäntä saattoi nähdä, mihin se saattoi päästä ja mitkä salaisuudet olivat todella tallennettu siihen. Nämä kolme vastausta eroavat paljon, ja reagointi eroaa niiden mukana.
Yhdyskäytävä päättää tunnelin, joten se näkee sen sisään
VPN:n salaus kulkee hypyltä hypylle, ja yhdyskäytävä on se hyppy. Se poistaa ulomman kerroksen, soveltaa käytäntöä ja välittää sisemmän paketin, joten jokainen kuljetettu paketti on jossain vaiheessa luettavassa muodossa tuon isännän muistissa. Se on suunnittelua, ei virhe. Siksi yhdyskäytävän vaarantuminen on eri tapahtuma kuin tunnelin salakirjoituksen vaarantuminen.
Ensimmäiseksi hyökkääjä voittaa aseman: kyvyn tarkkailla kuljetettua liikennettä, muuttaa välitystä tai vastata backendin sijasta. Se, mitä hän seuraavaksi saa, riippuu isännästä, ja tässä ihmiset yliarvioivat. Pelkkä pääsy yhdyskäytävään ei luovuta selaimen TLS-istuntoavaimia, koska ne eivät koskaan olleet yhdyskäytävällä.
Kolme paljastumaa, jotka eivät ole samankokoisia
Jaa kysymys kuljetettuun liikenteeseen, saavutettaviin järjestelmiin ja tallennettuihin salaisuuksiin ja vastaa sitten kuhunkin erikseen.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Keskimmäinen rivi on se, joka ohitetaan. Yhdyskäytävällä on yleensä reitti yksityisverkkoihin ja lähdeosoite, johon backendit jo luottavat, joten kiinnostava kysymys on, mitä nuo backendit sallivat kyseisestä osoitteesta. Kapea asiakaspääsykäytäntö on hyvä hallintakeino, mutta isännällä oleva hyökkääjä ei rajoitu käyttöliittymään, jota tavallinen asiakas käyttäisi.
Alin rivi ratkaisee, kuinka kauan tapahtuma kestää. Palvelinavaimella ja CA-avaimella on täysin erilaiset vaikutusalueet, samoin paikallisella ylläpitäjätilillä ja vain luku -valvontatunnuksella.
Tunnelissa oleva HTTPS on edelleen HTTPS
Sovelluksen TLS päättyy sovellukseen, ei VPN-yhdyskäytävään, joten vaarantunut yhdyskäytävä havaitsee salatekstiä noiden virtojen osalta. Se on todellinen raja sille, mitä hyökkääjä saa, ja se kannattaa sanoa selvästi, koska vastakkainen väite levittää paniikkia ja huonoja päätöksiä. Kaksi ehtoa rikkoo sen. Jos polulla on luotettavan varmenteen omaava tarkastuskomponentti, yhdyskäytävä voi nähdä selkokielistä tekstiä suunnittelun mukaan. Jos sovelluksen päätepiste itsessään on vaarantunut, tunneli on merkityksetön.
Vastaus siihen, mitä he näkivät, on siis ehdollinen, ja se pitäisi kirjata ehdoiksi eikä julistaa tuomioksi.
Mitä on muututtava, ennen kuin siihen voi luottaa taas
Isännän uudelleenrakennus on välttämätöntä ja harvoin riittävää. Hyökkääjä, jolla on yhä hallintatili, käyttöönottotunnus tai allekirjoitusavain, voi palauttaa isännän haluamakseen. Palautuksen on alettava hallintapolusta, joka ei riipu vaarantuneesta koneesta.
Inventoi, mitä siinä oli, ennen kuin päätät, mitä kierrätetään. Avaimet, palvelutilit, API-tunnukset, paikalliset käyttäjät, ajoitetut työt, luottamussuhteet ja käyttöönoton putki ovat kaikki ehdokkaita, ja jokaisella on omistaja, jonka pitäisi vahvistaa se.
ss -lntup
getent passwd
crontab -l
ip route show table allTuo luettelo on nopein tapa nähdä, mitä isäntä tarjosi ja minne se saattoi päästä. Säilytä ensin todisteet vastauksen omistajan prosessin mukaisesti, koska uudelleenrakennus tuhoaa juuri sen, mitä tutkinta tarvitsee. NIST SP 800-61 Versio 3 pitää valmistelua, havaitsemista, reagointia ja palautusta osina yhtä riskiprosessia eikä uudelleenkäynnistysohjeena.
Rajat, jotka tekevät seuraavasta halvemman
Neljä rajaa kannattaa rakentaa ennen kuin niitä tarvitset. Pidä riippumaton palautuspolku, joka ei todentaa yhdyskäytävän kautta. Pidä allekirjoitusvaltuus erillään isännästä, joka palvelee liikennettä. Rajoita, minne yhdyskäytävä voi päästä, jotta vaarantunut yhdyskäytävä ei ole automaattisesti vaarantunut hallintaverkko. Ja kirjaa, kenelle kukin tunnus kuuluu, jotta kierrätys on puhelinsoitto eikä arkeologinen projekti.
Mikään näistä ei estä vaarantumista. Ne rajaavat sitä ja tekevät eron huonon viikon ja huonon vuosineljänneksen välillä.