TunnelCrack kontra TunnelVision: melyik mit tör fel valójában

Két kutatási nevet használnak felváltva minden olyan VPN-forgalomra, amely elhagyja az alagutat, pedig a mögöttük álló mechanizmusok nem azonosak. A TunnelCrack az útválasztási kivételek két családját írja le; a TunnelVision a DHCP által a végpontra szállított útvonalat írja le. Egyik sem töri fel a titkosítást, és egyik sem mondja meg, mit tesz ma egy adott ügyfélverzió. Öt ellenőrzés választja el a mechanizmusokat a címsoroktól.

Első lépés: nevezze meg az ellenőrzött mechanizmust

A 2023 augusztusi TunnelCrack-közzététel két támadáscsaládot ír le. A helyi hálózat esetében a forgalom, amelyet az ügyfél a helyi hálózathoz tartozónak tekint, helyi hozzáférési kivételt kap, és elhagyja az alagutat. A kiszolgálócím esetében az útvonal, amelyre az ügyfélnek a VPN-kiszolgáló eléréséhez szüksége van, az alagúton kívül van, és a címet ellenőrző ellenfél kihasználhatja a kivételt.

A TunnelVision külön jelentés az osztály nélküli statikus útvonalakról, amelyeket a DHCP szállít. Egy rosszindulatú DHCP-kiszolgáló olyan útvonalakat adhat a végpontnak, amelyek megváltoztatják, merre halad a forgalom, beleértve a VPN-kiszolgáló felé vezető utat is. A jelentés elismeri a kapcsolódó útválasztási hatásokról szóló korábbi munkát, ami emlékeztet arra, hogy a mögöttes mechanizmus régebbi a névnél.

Tartsa a neveket a mechanizmusaikhoz kötve. Az egyikre javítást alkalmazni, mert a másik a hírekben van, az az út, ahogyan egy vizsgálat lefedettség nélkül mozgást állít elő.

Második lépés: nézze meg a helyi hozzáférési kivételt

A legtöbb ügyfél kivételt ad a helyi hálózati forgalomnak, hogy a nyomtatók, a képernyőátvitel és a fájlmegosztás működjön, amíg az alagút áll. Ez a kivétel biztonsági költséggel járó szakpolitikai döntés: az ugyanazon a hálózaton lévő ellenfél helyi gazdaként mutathatja be magát, és a hozzá érkező forgalom soha nem lépett be az alagútba.

Kérdezze meg, hogy a telepített profilnak egyáltalán szüksége van-e a kivételre. Az a távoli munkaerő, amely soha nem használ helyi felderítést, gyakran kikapcsolhatja, a megmaradó helyi szolgáltatások pedig dokumentált útvonalon érhetők el. Ahol a kivétel szükséges, mondja meg, mely célokat fedi le, ahelyett hogy helyi forgalomként írná le.

Az ellenőrzés konfigurációs kérdés, nem csomagrögzítés. Olvassa el a profil beállítását és az ügyfél dokumentációját a telepített verzióhoz, mert az alapértelmezés termékenként és ugyanazon termék verziói között is eltér. Írja a választ a profil mellé, hogy a következő ellenőrzőnek ne kelljen a viselkedésből kikövetkeztetnie. Az a kivétel, amelyet senki nem dokumentált, olyan kivétel, amelyet senki nem vizsgál.

Harmadik lépés: nézze meg, hogyan tanulja meg az ügyfél a kiszolgáló címét

Az ügyfélnek még azelőtt el kell érnie a VPN-kiszolgálót, hogy bármilyen alagút létezne, ezért ezt a célt a tervezés szerint az alagúton kívül irányítják. Ha a címet egy névből tanulja meg, a feloldási lépés a bizalmi útvonal része, és az a támadó, aki meg tudja válaszolni ezt a lekérdezést, olyan gazdára irányíthatja az ügyfelet, amelyet ellenőriz.

A cím rögzítése, a helyes névvel ellátott ellenőrzött tanúsítvány használata és az ellenőrizetlen kiszolgálóra való visszaesés megtagadása mind csökkenti a kitettséget. Egyik sem szünteti meg azt az igényt, hogy a kiszolgálót az alagúton kívül érje el; azt változtatják meg, ki felelhet az adott címért.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Az útvonalkeresés megmutatja azt az interfészt, amelyet az ügyfél a kiszolgáló címéhez használna, és ez a kivétel kézzelfogható formában. Ha ez a keresés az alagút interfészét adja vissza, az ügyfél egyáltalán nem tudja felépíteni az alagutat, tehát külső útvonal várható, és a kérdés csak az, hogyan választják ki a célját.

Negyedik lépés: nézze meg a DHCP által szállított útvonalakat

Az osztály nélküli statikus útvonalak lehetővé teszik, hogy a DHCP-kiszolgáló útválasztási táblabejegyzéseket osszon ki, és a végpont általában kérdezés nélkül elfogadja őket. Olyan hálózaton, ahol egy ellenfél gyorsabban válaszolhat a DHCP-re, mint a jogszerű kiszolgáló, ezek a bejegyzések átirányíthatják a forgalmat, amelyről a felhasználó azt hiszi, hogy az alagúton belül van.

Hasonlítsa össze a végpont útvonalait a várt útvonalakkal. Az alapértelmezett útvonal vagy egy széles előtag, amely a helyi átjáróra mutat, miközben az alagút áll, az a nyom, amelyet érdemes kivizsgálni, és minden támadó forgalom nélkül látható.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Az utolsó beállítás a végpont oldali vezérlő, amelyet sok ügyfél és platform valamilyen formában kínál: a hálózat által szállított útvonalak figyelmen kívül hagyása. Az automatikus útvonalelfogadás kikapcsolása kompromisszum, mert a vállalati DHCP-kiszolgáló jogszerű osztott útválasztását is kikapcsolja, ezért hálózati osztályonként döntse el, nem globálisan.

Ötödik lépés: válassza el a közleményt a jelenlegi verziótól

Egy közzétett támadás azt a viselkedést írja le, amelyet adott ügyfélverziókon adott időpontban figyeltek meg. Nem bizonyítja, hogy az Ön előtti laptop érintett, és nem bizonyítja, hogy javították. Mindkét állításhoz a tényleges buildszám és a szállító aktuális közleménye kell.

Jegyezze fel az ügyfélverziót, a platformot, a fenti kivételeket szabályozó profilbeállításokat és az ellenőrzés dátumát. Ez a feljegyzés őszintén öregszik, egy olyan megjegyzés viszont, hogy a VPN-t TunnelCrack ellen javították, nem öregszik őszintén. Olvassa újra minden ügyfélfrissítéskor, mert egy profil-alapértelmezés megváltozhat egy olyan verzió alatt, amelyhez nem nyúlt.

Amikor valóban ellenőriz, jóváhagyott tervet használjon a saját végpontja és egy ártalmatlan cél ellen. A támadás más felhasználók elleni megismétlése megosztott hálózaton nem teszt, és a társ-ellenőrzés vagy az alkalmazás titkosításának kikapcsolása a megfigyelés megkönnyítésére eltávolítja azt a védelmet, amelyet mérni próbált.

Végül tartsa a képen az alkalmazásszintű védelmet. Egy útválasztási kivétel feltárhatja azt a forgalmat, amelyet az alagút vitt volna, és az alkalmazás TLS-e továbbra is végponttól végpontig védi ezt a forgalmat. A két réteg egymástól függetlenül hibázik, ezért egy csatlakoztatott vezérlőcsatorna nem bizonyítja, hogy minden folyam a szándékolt úton haladt.