Jo VPN-poarte is kompromittearre: wat wurdt echt bleatsteld
In hackte VPN-poarte sjocht yn syn eigen tunnel, mar dat is net elke sesje behearskje. Skied ferkear, berik en bewarre geheimen foar it herstel.
In VPN-poarte stiet oan ’e ein fan ’e tunnel dy’t er beskermet, wat betsjut dat er dy fersifering beëiniget ynstee fan troch te litten. As in oanfaller de host behearsket, sjocht de tunnel der fan bûten noch sûn út, wylst de masine yn ’e midden net mear fertrouber is. De nuttige fraach is net oft alles ûntsifere wurdt. Hy is wat dy host sjen koe, wat er berikke koe en hokker geheimen der eins op bewarre wiene. Dy trije antwurden ferskille in protte, en de reaksje ferskilt dermei.
De poarte beëiniget de tunnel, dat sjocht er der yn
Fersifering yn in VPN giet hop foar hop, en de poarte is de hop. Hy hellet de bûtenste laach fuort, past belied ta en stjoert it binnenste pakket troch, sadat elk ferfierd pakket op in stuit yn lêsbere foarm yn it ûnthâld fan dy host bestiet. Dat is it ûntwerp en gjin flater. Dêrom is kompromittemint fan ’e poarte in oar barren as kompromittemint fan ’e kryptografy fan ’e tunnel.
Wat de oanfaller earst wint, is posysje: de mooglikheid om ferfierd ferkear te observearjen, trochstjoering te feroarjen of yn ’t plak fan in backend te antwurdzjen. Wat er dêrnei wint, hinget fan ’e host ôf, en hjir oerskatte minsken. Allinnich tagong ta de poarte jout gjin TLS-sesjekaaien fan in browser oer, want dy wiene nea op ’e poarte.
Trije bleatstellings dy’t net like grut binne
Diel de fraach op yn ferfierd ferkear, berikbere systemen en bewarre geheimen, en beäntwurdzje elk apart.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
De middenrige is dejinge dy’t oerslein wurdt. In poarte hat meastentiids in rûte nei partikuliere netwurken en in boarneadres dêr’t de backends al op fertrouwe, dat de nijsgjirrige fraach is wat dy backends fan dat adres ôf tastean. In smel kliïnttagongsbelied is in goede kontrôle, mar in oanfaller op ’e host is net beheind ta de ynterface dy’t in normale kliïnt brûke soe.
De ûnderste rige beslút hoelang’t it ynsidint duorret. In tsjinnerkaai en in CA-kaai hawwe folslein ferskate ynfloedsradii, en sa ek in lokaal admin-account en in lês-alleinne monitoringstoken.
HTTPS yn ’e tunnel is noch altyd HTTPS
TLS fan ’e applikaasje einiget yn ’e applikaasje, net by de VPN-poarte, dat in kompromittearre poarte sjocht sipettekst foar dy streamen. Dat is in echte grins oan wat de oanfaller krijt, en it is de muoite wurdich om it dúdlik te sizzen, want de tsjinoerstelde bewearing ferspriedt panyk en minne besluten. Twa betingsten brekke it. As in ynspeksjekomponint mei in fertroude sertifikaat yn it paad sit, kin de poarte by ûntwerp gewoane tekst sjen. As it einpunt fan ’e applikaasje sels kompromittearre is, is de tunnel net relevant.
Dat it antwurd op wat se seagen is betingstich, en it moat as betingsten opskreaun wurde ynstee fan as ferdict oankundige te wurden.
Wat feroarje moat foardat jo it wer fertrouwe
De host wer opbouwe is needsaaklik en selden genôch. In oanfaller dy’t noch in behearaccount, in útrolkrêdens of in ûndertekeningskaai hat, kin de host weromsette sa’t er wol. Herstel moat begjinne fan in administraasjepaad dat net fan ’e kompromittearre masine ôfhinget.
Meitsje in ynventaris fan wat derop wie foardat jo beslute wat te rotearjen. Kaaien, tsjinstaccounts, API-tokens, lokale brûkers, plande taken, fertrouwensrelaasjes en de útrolpipeline binne allegear kandidaten, en elk hat in eigner dy’t it befêstigje moat.
ss -lntup
getent passwd
crontab -l
ip route show table allDy list is de fluchste manier om te sjen wat de host oanbea en wêr’t er berikke koe. Bewarje earst it bewiis, neffens it proses fan ’e eigner fan ’e reaksje, want in weropbou fernielt krekt wat in ûndersyk nedich hat. NIST SP 800-61 Revyzje 3 behannelet tarieding, deteksje, reaksje en herstel as dielen fan ien risikoproses ynstee fan as in werstartynstruksje.
Grinzen dy’t de folgjende goedkeaper meitsje
Fjouwer grinzen binne de muoite wurdich om te bouwen foardat jo se nedich hawwe. Hâld in ûnôfhinklik herstelpaad dat net fia de poarte autentisearret. Hâld ûndertekeningsbefoechdheid skieden fan ’e host dy’t ferkear tsjinnet. Behein wat de poarte berikke kin, sadat in kompromittearre poarte net automatysk in kompromittearre behearnetwurk is. En registrearje wa’t elk krêdens hat, sadat rotaasje in telefoantsje is ynstee fan in argeologysk projekt.
Gjin fan dizze foarkomt kompromittemint. Se grinzgje it en se meitsje it ferskil tusken in minne wike en in min kertier.