TunnelCrack बनाम TunnelVision: हर एक वास्तव में क्या तोड़ता है

टनल से बाहर जाने वाले किसी भी VPN ट्रैफ़िक के लिए दो शोध नाम एक-दूसरे के बदले इस्तेमाल होते हैं, पर उनके पीछे के तंत्र एक जैसे नहीं हैं। TunnelCrack राउटिंग अपवादों के दो परिवारों का वर्णन करता है; TunnelVision अंतिम डिवाइस पर DHCP द्वारा दिए गए मार्ग का वर्णन करता है। इनमें से कोई भी एन्क्रिप्शन नहीं तोड़ता, और कोई भी आपको नहीं बताता कि आज कोई ख़ास क्लाइंट बिल्ड क्या करता है। पाँच जाँचें तंत्रों को सुर्ख़ी से अलग करती हैं।

पहला चरण: जिस तंत्र की समीक्षा कर रहे हैं उसका नाम लें

अगस्त 2023 का TunnelCrack खुलासा हमले के दो परिवारों का वर्णन करता है। स्थानीय नेटवर्क के मामले में, जिस ट्रैफ़िक को क्लाइंट स्थानीय नेटवर्क का मानता है वह स्थानीय-पहुँच अपवाद लेकर टनल से बाहर चला जाता है। सर्वर पते के मामले में, VPN सर्वर तक पहुँचने के लिए क्लाइंट को जो मार्ग चाहिए वह टनल के बाहर होता है, और जो विरोधी उस पते को नियंत्रित करता है वह इस अपवाद का फ़ायदा उठा सकता है।

TunnelVision DHCP द्वारा दिए जाने वाले वर्गहीन स्थिर मार्गों पर एक अलग रिपोर्ट है। एक दुर्भावनापूर्ण DHCP सर्वर अंतिम डिवाइस को ऐसे मार्ग दे सकता है जो बदल देते हैं कि ट्रैफ़िक कौन-सा रास्ता लेता है, जिसमें VPN सर्वर की ओर का रास्ता भी शामिल है। रिपोर्ट संबंधित राउटिंग प्रभावों पर पहले के काम को स्वीकार करती है, जो याद दिलाता है कि मूल तंत्र नाम से पुराना है।

नामों को उनके तंत्रों से जुड़ा रखें। दूसरा ख़बरों में है इसलिए एक के लिए सुधार लागू करना वह तरीक़ा है जिससे समीक्षा बिना कवरेज के हलचल पैदा करती है।

दूसरा चरण: स्थानीय-पहुँच अपवाद देखें

ज़्यादातर क्लाइंट स्थानीय नेटवर्क ट्रैफ़िक को छूट देते हैं ताकि टनल चालू रहने पर प्रिंटर, कास्टिंग और फ़ाइल साझा करना काम करते रहें। यह छूट सुरक्षा लागत वाला नीति निर्णय है: उसी नेटवर्क पर विरोधी खुद को स्थानीय होस्ट बता सकता है, और उस तक पहुँचने वाला ट्रैफ़िक कभी टनल में नहीं गया।

पूछें कि तैनात प्रोफ़ाइल को छूट की ज़रूरत है भी या नहीं। जो दूरस्थ कार्यबल कभी स्थानीय खोज का उपयोग नहीं करता वह अक्सर इसे बंद कर सकता है, और बाक़ी स्थानीय सेवाएँ किसी प्रलेखित मार्ग से पहुँची जा सकती हैं। जहाँ छूट ज़रूरी है, वहाँ इसे स्थानीय ट्रैफ़िक कहने के बजाय बताएँ कि यह किन गंतव्यों को कवर करती है।

जाँच कॉन्फ़िगरेशन का सवाल है, पैकेट कैप्चर नहीं। प्रोफ़ाइल सेटिंग और जिस बिल्ड को तैनात कर रहे हैं उसका क्लाइंट दस्तावेज़ पढ़ें, क्योंकि डिफ़ॉल्ट उत्पादों के बीच और एक ही उत्पाद के संस्करणों के बीच अलग होता है। उत्तर प्रोफ़ाइल के पास लिखें, ताकि अगले समीक्षक को इसे व्यवहार से निकालना न पड़े। जिस छूट को किसी ने प्रलेखित नहीं किया वह ऐसी छूट है जिसकी कोई समीक्षा नहीं करता।

तीसरा चरण: देखें कि सर्वर का पता कैसे सीखा जाता है

किसी भी टनल के बनने से पहले क्लाइंट को VPN सर्वर तक पहुँचना होता है, इसलिए वह गंतव्य डिज़ाइन से टनल के बाहर राउट होता है। अगर पता किसी नाम से सीखा जाता है, तो रिज़ॉल्यूशन का चरण विश्वास मार्ग का हिस्सा है, और जो विरोधी उस क्वेरी का जवाब दे सकता है वह क्लाइंट को अपने नियंत्रित होस्ट की ओर भेज सकता है।

पते को पिन करना, सही नाम वाले सत्यापित प्रमाणपत्र का उपयोग करना और असत्यापित सर्वर पर लौटने से इनकार करना, ये सब जोखिम घटाते हैं। इनमें से कोई भी टनल के बाहर सर्वर तक पहुँचने की ज़रूरत नहीं हटाता; ये बदलते हैं कि उस पते की ओर से कौन जवाब दे सकता है।

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

मार्ग खोज दिखाती है कि सर्वर पते के लिए क्लाइंट कौन-सा इंटरफ़ेस इस्तेमाल करेगा, जो अपवाद का ठोस रूप है। अगर वह खोज टनल इंटरफ़ेस लौटाती है, तो क्लाइंट टनल स्थापित ही नहीं कर सकता, इसलिए बाहरी मार्ग अपेक्षित है और सवाल सिर्फ़ यह है कि उसका गंतव्य कैसे चुना जाता है।

चौथा चरण: DHCP द्वारा दिए गए मार्ग देखें

वर्गहीन स्थिर मार्ग DHCP सर्वर को राउटिंग तालिका की प्रविष्टियाँ बाँटने देते हैं, और अंतिम डिवाइस आमतौर पर बिना पूछे उन्हें स्वीकार कर लेता है। ऐसे नेटवर्क पर जहाँ विरोधी वैध सर्वर से तेज़ DHCP का जवाब दे सकता है, वे प्रविष्टियाँ उस ट्रैफ़िक को मोड़ सकती हैं जिसे उपयोगकर्ता टनल के अंदर मानता है।

अंतिम डिवाइस के मार्गों की तुलना उन मार्गों से करें जिनकी आप अपेक्षा करते हैं। टनल चालू रहने पर स्थानीय गेटवे की ओर इशारा करता डिफ़ॉल्ट मार्ग या चौड़ा प्रीफ़िक्स वह हस्ताक्षर है जो जाँच के लायक है, और यह किसी हमलावर ट्रैफ़िक के बिना दिखता है।

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

आख़िरी सेटिंग अंतिम डिवाइस की ओर का नियंत्रण है जिसे कई क्लाइंट और प्लेटफ़ॉर्म किसी न किसी रूप में उजागर करते हैं: नेटवर्क द्वारा दिए गए मार्गों को अनदेखा करना। स्वचालित मार्ग स्वीकृति बंद करना एक समझौता है, क्योंकि यह कॉर्पोरेट DHCP सर्वर से वैध विभाजित राउटिंग भी बंद कर देता है, इसलिए इसे वैश्विक रूप से नहीं, नेटवर्क वर्ग के अनुसार तय करें।

पाँचवाँ चरण: सूचना को मौजूदा बिल्ड से अलग करें

प्रकाशित हमला किसी ख़ास समय पर कुछ ख़ास क्लाइंट संस्करणों पर देखे गए व्यवहार का वर्णन करता है। यह सिद्ध नहीं करता कि आपके सामने का लैपटॉप प्रभावित है, और यह भी सिद्ध नहीं करता कि उसे ठीक कर दिया गया है। दोनों दावों के लिए असली बिल्ड नंबर और विक्रेता की मौजूदा सूचना चाहिए।

क्लाइंट संस्करण, प्लेटफ़ॉर्म, ऊपर के अपवादों को नियंत्रित करने वाली प्रोफ़ाइल सेटिंग्स और जिस तारीख़ को आपने जाँचा उसे दर्ज करें। वह रिकॉर्ड ईमानदारी से पुराना होता है, जबकि यह कहने वाला नोट कि VPN को TunnelCrack के लिए पैच किया गया, ऐसा नहीं करता। हर बार क्लाइंट अपडेट होने पर उसे फिर पढ़ें, क्योंकि प्रोफ़ाइल डिफ़ॉल्ट उस संस्करण के अंतर्गत बदल सकता है जिसे आपने छुआ नहीं।

जब आप वास्तव में सत्यापन करें, तो अपने ही अंतिम डिवाइस और किसी हानिरहित गंतव्य के विरुद्ध स्वीकृत योजना का उपयोग करें। साझा नेटवर्क पर दूसरे उपयोगकर्ताओं के विरुद्ध हमला दोहराना परीक्षण नहीं है, और अवलोकन आसान बनाने के लिए पीयर सत्यापन या एप्लिकेशन एन्क्रिप्शन बंद करना उस सुरक्षा को हटा देता है जिसे आप मापना चाहते थे।

अंत में, एप्लिकेशन-स्तर की सुरक्षा को तस्वीर में रखें। एक राउटिंग अपवाद उस ट्रैफ़िक को उजागर कर सकता है जो टनल ढोता, और एप्लिकेशन का TLS अब भी उस ट्रैफ़िक को सिरे से सिरे तक बचाता है। दोनों परतें स्वतंत्र रूप से विफल होती हैं, इसीलिए जुड़ा नियंत्रण चैनल इस बात का प्रमाण नहीं है कि हर प्रवाह इच्छित मार्ग से गया।