Tá do gheata VPN curtha i mbaol: cad atá nochtaithe i ndáiríre
Feiceann geata VPN atá hackáilte taobh istigh dá thollán féin, ach ní hé sin gach seisiún a shealbhú. Scar trácht, sroicheadh agus rúin stóráilte roimh athchóiriú.
Seasann geata VPN ag deireadh an tolláin a chosnaíonn sé, rud a chiallaíonn go gcríochnaíonn sé an chriptiú sin in áit é a chur ar aghaidh. Má rialaíonn ionsaitheoir an t-óstach, breathnaíonn an tollán fós sláintiúil ón taobh amuigh agus an meaisín sa lár nach bhfuil iontaofa a thuilleadh. Ní hé an cheist úsáideach an ndéantar gach rud a dhíchriptiú. Is í an cheist cad a d’fhéadfadh an t-óstach sin a fheiceáil, cá raibh sé in ann teacht agus cé na rúin a bhí stóráilte air i ndáiríre. Tá na trí fhreagra sin an-difriúil, agus tá an freagra difriúil leo.
Críochnaíonn an geata an tollán, mar sin feiceann sé istigh ann
Téann criptiú i VPN ó léim go léim, agus is é an geata an léim. Baineann sé an tsraith sheachtrach, cuireann sé beartas i bhfeidhm agus seolann sé an paicéad istigh ar aghaidh, mar sin bíonn gach paicéad iompair i bhfoirm inléite i gcuimhne an óstaigh sin ag am éigin. Is é sin an dearadh seachas locht. Sin freisin an fáth go bhfuil cur i mbaol an gheata ina eachtra dhifriúil ó chur i mbaol chripteagrafaíocht an tolláin.
Is é an chéad rud a ghnóthaíonn an t-ionsaitheoir ná seasamh: an cumas trácht iompair a bhreathnú, an t-atreorú a athrú, nó freagra a thabhairt in ionad backend. Braitheann an chéad rud eile a ghnóthaíonn sé ar an óstach, agus is anseo a dhéanann daoine rómheastachán. Ní thugann rochtain ar an ngeata amháin eochracha seisiúin TLS an bhrabhsálaí, mar ní raibh siad riamh ar an ngeata.
Trí nochtadh nach bhfuil ar an méid céanna
Roinn an cheist ina trácht iompair, ina chórais inrochtana agus ina rúin stóráilte, ansin freagair gach ceann acu ar leith.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Is í an tsraith lár an ceann a ndéantar dearmad uirthi. De ghnáth bíonn bealach ag geata isteach i líonraí príobháideacha agus seoladh foinse a mbíonn muinín ag na backends as cheana, mar sin is í an cheist shuimiúil ná cad a cheadaíonn na backends sin ón seoladh sin. Is smacht maith é beartas cúng rochtana cliant, ach ní bhíonn ionsaitheoir ar an óstach teoranta don chomhéadan a d’úsáidfeadh gnáthchliant.
Cinneann an tsraith íochtarach cé chomh fada a mhaireann an eachtra. Tá ga iarmharta iomlán difriúil ag eochair freastalaí agus ag eochair CA, agus mar an gcéanna ag cuntas riarthóra áitiúil agus ag comhartha faireacháin inléite amháin.
Tá HTTPS taobh istigh den tollán fós ina HTTPS
Críochnaíonn TLS an fheidhmchláir san fheidhmchlár, ní ag geata VPN, mar sin breathnaíonn geata curtha i mbaol ar théacs sifeartha do na sruthanna sin. Is teorainn fhíor é sin ar a bhfaigheann an t-ionsaitheoir, agus is fiú é a rá go soiléir, mar scaipeann an ráiteas contrártha scaoll agus drochchinntí. Briseann dhá choinníoll é. Má tá comhpháirt iniúchta le teastas iontaofa sa chonair, féadfaidh an geata téacs glan a fheiceáil de réir dearaidh. Má tá deireadh feidhmchláir féin curtha i mbaol, tá an tollán neamhábhartha.
Mar sin tá an freagra ar cad a chonaic siad coinníollach, agus ba chóir é a scríobh mar choinníollacha seachas a fhógairt mar fhíorasc.
Cad a chaithfidh athrú sula gcuirfidh tú muinín ann arís
Tá atógáil an óstaigh riachtanach agus is annamh a bhíonn sí leordhóthanach. Is féidir le hionsaitheoir a bhfuil cuntas bainistíochta, dintiúir imscartha nó eochair sínithe fós aige an t-óstach a chur ar ais mar is mian leis. Caithfidh an t-athchóiriú tosú ó chonair riaracháin nach mbraitheann ar an meaisín atá curtha i mbaol.
Déan fardal de cad a bhí air sula gcinnfidh tú cad a rothlófar. Tá eochracha, cuntais seirbhíse, comharthaí API, úsáideoirí áitiúla, poist sceidealaithe, caidrimh mhuiníne agus an píblíne imscartha go léir ina n-iarrthóirí, agus tá úinéir ag gach ceann a chóir a dhearbhú.
ss -lntup
getent passwd
crontab -l
ip route show table allIs é an liosta sin an bealach is tapúla chun a fheiceáil cad a bhí an t-óstach a thairiscint agus cá raibh sé in ann teacht. Caomhnaigh an fhianaise ar dtús, faoi phróiseas úinéir an fhreagairt, mar scriosann atógáil go díreach an rud a bhíonn de dhíth ar imscrúdú. Caitheann NIST SP 800-61 Athbhreithniú 3 le hullmhú, braith, freagairt agus athchóiriú mar chodanna d’aon phróiseas riosca amháin seachas mar threoir atosaithe.
Teorainneacha a dhéanann an chéad cheann eile níos saoire
Is fiú ceithre theorainn a thógáil sula mbeidh siad de dhíth ort. Coinnigh conair athchóirithe neamhspleách nach bhfíordheimhníonn tríd an ngeata. Coinnigh an t-údarás sínithe ar leith ón óstach a fhreastalaíonn ar thrácht. Cuir teorainn le cad a fhéadann an geata a bhaint amach, ionas nach líonra bainistíochta curtha i mbaol go huathoibríoch é geata curtha i mbaol. Agus taifead cé leis gach dintiúir, ionas gur glao gutháin é rothlú seachas tionscadal seandálaíochta.
Ní chuireann aon cheann acu seo cosc le cur i mbaol. Cuireann siad teorainn leis, agus déanann siad an difríocht idir seachtain dhona agus ráithe dhona.