क्या CVE-2019-14899 आपको प्रभावित करता है? कर्नेल के लिए एक जाँच सूची

एक स्कैनर उस मशीन पर CVE-2019-14899 चिह्नित करता है जो वर्षों से VPN चला रही है, और पहली प्रवृत्ति VPN को टूटा हुआ घोषित करना है। यह गलत ढाँचा है। प्रकट किया गया मुद्दा पीड़ित के स्थानीय नेटवर्क पर मौजूद हमलावर से है जो कुछ TCP कनेक्शनों के बारे में जानकारी निकालता है, न कि किसी वेबसाइट से जो आपकी सुरंग को डिक्रिप्ट करती है।

नीचे दी गई चार जाँचें क्रम से करें। हर एक या तो समस्या को सीमित करती है या जाँच समाप्त करती है।

जाँच 1: क्या सलाह आपके कर्नेल को कवर करती है

अपने वितरण का अपना रिकॉर्ड देखें, किसी ब्लॉग का रिलीज़ तिथि सारांश नहीं। इस CVE के लिए Ubuntu का सुरक्षा पृष्ठ 18.04 LTS के लिए सामान्य linux पैकेज को सुधार स्थगित के साथ असुरक्षित सूचीबद्ध करता है और अन्य कर्नेल पैकेजों को अलग पंक्तियों में ट्रैक करता है। अपने चल रहे रिलीज़ और कर्नेल पैकेज को सही पंक्ति से मिलाएँ। परिचित दिखने वाला संस्करण संख्या मिलान नहीं है।

स्कैनर का परिणाम मतलब है कि पहचानकर्ता आपकी सूची में किसी चीज़ पर लागू होता है। इसका मतलब यह नहीं कि किसी पड़ोसी उपकरण ने मशीन का शोषण किया।

जाँच 2: मॉडल में हमलावर कौन है

खतरे का मॉडल ऐसे निकटवर्ती हमलावर को मानता है जो पीड़ित के एक्सेस नेटवर्क के साथ काम कर सके। यह एक विशिष्ट स्थिति है, कोई मनमानी दूरस्थ सेवा नहीं जिसे आपका एग्ज़िट नोड पसंद न हो। यदि उपयोगकर्ता कैफ़े से जुड़ते हैं तो यह धारणा यथार्थवादी है; यदि वे प्रबंधित कॉर्पोरेट लैन के पीछे हैं तो यह दूसरी बातचीत है।

सुरंग एन्क्रिप्टेड होने पर भी स्थानीय नेटवर्क पर भरोसे का सवाल खुला रखें। एन्क्रिप्शन निकटता से भिन्न प्रश्न का उत्तर देता है।

जाँच 3: आप किस परत पर निर्भर हैं

सही ढंग से सत्यापित HTTPS अनुप्रयोग रिकॉर्ड के लिए अपनी सुरक्षा देता है, और TLS 1.3 उस डेटा को सिरे से सिरे तक प्रमाणित करता है। यह वादा नहीं करता कि हमलावर अंतर्निहित TCP कनेक्शन को बाधित नहीं कर सकता। इसलिए कोई अनुप्रयोग पढ़ने के लिए सुरक्षित हो सकता है और फिर भी बाधित हो सकता है, और बाधा प्रकटीकरण जैसा परिणाम नहीं है। जोखिम आँकने से पहले दोनों को अलग करें।

यह अंतर रिपोर्ट के लिए महत्वपूर्ण है। यह VPN असुरक्षित है इस अस्पष्ट दावे को इस सीमित कथन में बदल देता है कि निकटवर्ती हमलावर क्या देख या बाधित कर सकता था।

जाँच 4: आपने वास्तव में कौन सा शमन तैनात किया

प्रकटीकरण रूटिंग और फ़िल्टरिंग शमन पर चर्चा करता है और उनकी सीमाओं के बारे में स्पष्ट है, जिसमें रिवर्स-पाथ फ़िल्टरिंग और असममित मार्ग शामिल हैं। हर VPN होस्ट पर एक sysctl मान चिपकाकर यह मत कहें कि ठीक हो गया। रिवर्स-पाथ फ़िल्टरिंग रूटिंग के साथ क्रिया करती है, इसलिए एक टोपोलॉजी की मदद करने वाला मान दूसरी को तोड़ सकता है।

जाँच एक आदेश है, टिक बॉक्स नहीं। sysctl net.ipv4.conf.all.rp_filter वैश्विक मान दिखाता है, और sysctl net.ipv4.conf.tun0.rp_filter वह प्रति-इंटरफ़ेस मान दिखाता है जो वास्तव में लागू होता है। किसी भी बदलाव से पहले और बाद में दोनों पढ़ें।

वितरण के मार्गदर्शन और अपने रूटिंग डिज़ाइन का उपयोग करें, फिर सुरंग ढोने वाले इंटरफ़ेस पर सेटिंग की पुष्टि करें, किसी ऐसी फ़ाइल में नहीं जिसे किसी ने लोड न किया हो।

क्या दर्ज करें

निकटवर्ती हमलावर की धारणा, चल रहा कर्नेल पैकेज, जिस सलाह पंक्ति से आपने मिलान किया, तैनात शमन और उसका लागू होने का स्थान, और मौजूदा अनुप्रयोग सुरक्षाएँ दर्ज करें। जिस तिथि को आपने सलाह जाँची उसे जोड़ें, क्योंकि वे पृष्ठ बदलते हैं। यह संयोजन एक रक्षात्मक आकलन है।

OS रिलीज़ तिथि और चलता हुआ VPN कनेक्शन आकलन नहीं हैं। ये दो तथ्य हैं जो संयोग से इकट्ठा करना आसान है।