TunnelCrack tsjin TunnelVision: wat elk fan beide echt brekt

Twa ûndersyksnammen wurde trochinoar brûkt foar elk VPN-ferkear dat de tunnel ferlit, mar de meganismen derachter binne net itselde. TunnelCrack beskriuwt twa famyljes fan routing-útsûnderings; TunnelVision beskriuwt in rûte dy't DHCP op it einpunt leveret. Gjin fan beide brekt de fersifering, en gjin fan beide fertelt jo wat in spesifike kliïntferzje hjoed docht. Fiif kontrôles skiede de meganismen fan de kop.

Stap ien: neam it meganisme dat jo besjogge

De TunnelCrack-iepenbaring fan augustus 2023 beskriuwt twa oanfalsfamyljes. By it pleatslike netwurk nimt ferkear dat de kliïnt as pleatslik beskôget in útsûndering foar pleatslike tagong en ferlit de tunnel. By it serveradres stiet de rûte dy't de kliïnt nedich hat om de VPN-server sels te berikken bûten de tunnel, en in tsjinstanner dy't dat adres kontrolearret kin de útsûndering misbrûke.

TunnelVision is in apart rapport oer klasseleaze statyske rûtes dy't troch DHCP levere wurde. In kweade DHCP-server kin it einpunt rûtes jaan dy't feroarje hokker paad it ferkear nimt, ynklusyf it paad nei de VPN-server. It rapport erkent earder wurk oer besibbe routing-effekten, wat deroan tinkt dat it ûnderlizzende meganisme âlder is as de namme.

Hâld de nammen ferbûn oan har meganismen. In reparaasje tapasse foar de iene om't de oare yn it nijs is, is hoe't in besjoch beweging sûnder dekking produsearret.

Stap twa: besjoch de útsûndering foar pleatslike tagong

De measte kliïnten meitsje pleatslik netwurkferkear frij sadat printers, útstjoering en bestânsdieling bliuwe wurkjen wylst de tunnel oan is. Dy útsûndering is in beliedsbeslút mei in feiligenskoarte: in tsjinstanner op itselde netwurk kin himsels as pleatslike host presintearje, en it ferkear dat him berikt is nea de tunnel yn gien.

Freegje oft it ynsette profyl de útsûndering wol nedich hat. In remote wurkpleats dy't nea pleatslike ûntdekking brûkt kin it faak útsette, en de oerbleaune pleatslike tsjinsten kinne fia in dokumintearre paad berikt wurde. Wêr't de útsûndering nedich is, sis dan hokker bestimmingen it beslacht ynstee fan it as pleatslik ferkear te beskriuwen.

De kontrôle is in konfiguraasjefraach, gjin pakketopname. Lês de profylynstelling en de kliïntdokumintaasje foar de ferzje dy't jo ynsette, want de standert ferskilt tusken produkten en tusken ferzjes fan itselde produkt. Skriuw it antwurd njonken it profyl, sadat de folgjende besjoender it net út gedrach ôfliede hoecht. In útsûndering dy't nimmen dokumintearre hat is in útsûndering dy't nimmen besjocht.

Stap trije: besjoch hoe't it serveradres leard wurdt

De kliïnt moat de VPN-server berikke foardat der in tunnel bestiet, dus dy bestimming wurdt neffens ûntwerp bûten de tunnel rûte. As it adres út in namme leard wurdt, is de oplossingsstap part fan it fertrouwenspaad, en in tsjinstanner dy't dy fraach beantwurdzje kin, kin de kliïnt nei in host stjoere dy't hy kontrolearret.

It fêstsetten fan it adres, it brûken fan in ferifiearre sertifikaat mei de krekte namme en it wegerjen om werom te fallen op in net-ferifiearre server ferminderje allegear de bleatstelling. Gjin fan beide hellet de needsaak wei om de server bûten de tunnel te berikken; se feroarje wa't foar dat adres antwurdzje kin.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

De rûtesyktocht lit de ynterface sjen dy't de kliïnt foar it serveradres brûke soe, wat de útsûndering yn konkrete foarm is. As dy syktocht de tunnel-ynterface werombringt, kin de kliïnt de tunnel hielendal net oanmeitsje, dus in bûtenrûte wurdt ferwachte en de fraach is allinnich hoe't de bestimming derfan keazen wurdt.

Stap fjouwer: besjoch rûtes dy't DHCP leveret

Klasseleaze statyske rûtes litte in DHCP-server rûtesyngongen útjaan, en it einpunt akseptearret se meastal sûnder te freegjen. Op in netwurk dêr't in tsjinstanner flugger as de legitime server DHCP beantwurdzje kin, kinne dy yngongen ferkear trochstjoere dat de brûker mient dat it yn de tunnel sit.

Fergelykje de rûtes op it einpunt mei de rûtes dy't jo ferwachtsje. In standertrûte of in breed foarheaksel dat nei de pleatslike gateway wiist wylst de tunnel oan is, is it sinjaal dat de muoite fan ûndersyk wurdich is, en it is sichtber sûnder oanfalsferkear.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

De lêste ynstelling is de kontrôle oan de einpuntkant dy't in protte kliïnten en platfoarms yn ien of oare foarm oanbiede: negearje rûtes dy't it netwurk leveret. It útsetten fan automatyske rûte-akseptaasje is in kompromis, want it set ek legitime split-routing fan in bedriuws-DHCP-server út, dus beslúd it per netwurklasse en net globaal.

Stap fiif: skied it advys fan de hjoeddeiske ferzje

In publisearre oanfal beskriuwt gedrach dat op bepaalde kliïntferzjes op in bepaald stuit waarnommen is. It bewiist net dat de laptop foar jo troffen is, en it bewiist net dat it reparearre is. Beide bewearings hawwe it eigentlike buildnûmer en it aktuele berjocht fan de leveransier nedich.

Skriuw de kliïntferzje, it platfoarm, de profylynstellingen dy't de boppesteande útsûnderings regelje en de datum dêr't jo it kontrolearre hawwe op. Dat ferslach wurdt earlik âld, wylst in notysje dat de VPN foar TunnelCrack patcht is dat net docht. Lês it op 'e nij by elke kliïntupdate, want in profylstandert kin feroarje ûnder in ferzje dy't jo net oanrekke hawwe.

As jo echt validearje, brûk dan in goedkard plan tsjin jo eigen einpunt en in harmless bestimming. It oanfal reprodusearjen tsjin oare brûkers op in dield netwurk is gjin test, en it útsetten fan peer-ferifikaasje of applikaasje-fersifering om in waarnimming makliker te meitsjen hellet de beskerming wei dy't jo besochten te mjitten.

Ta beslút, hâld beskerming op applikaasjenivo yn byld. In routing-útsûndering kin ferkear bleatstelle dat de tunnel droegen hawwe soe, en TLS yn de applikaasje beskermet dat ferkear noch altyd fan ein oant ein. De twa lagen fale ûnôfhinklik, dêrom is in ferbûn kontrôlekanaal gjin bewiis dat elke stream it bedoelde paad naam.