A VPN-átjárója kompromittálódott: mi került valójában veszélybe

A VPN-átjáró annak az alagútnak a végén áll, amelyet véd, ami azt jelenti, hogy lezárja ezt a titkosítást, nem továbbengedi. Ha egy támadó irányítja a gazdagépet, az alagút kívülről továbbra is egészségesnek látszik, miközben a középen lévő gép már nem megbízható. A hasznos kérdés nem az, hogy minden visszafejtésre kerül-e. Hanem az, hogy mit láthatott ez a gazdagép, hová juthatott el, és milyen titkok voltak valóban rajta tárolva. Ez a három válasz nagyon különbözik, és a reakció is velük együtt különbözik.

Az átjáró lezárja az alagutat, tehát belélát

A VPN-ben a titkosítás ugrásról ugrásra halad, és az átjáró az az ugrás. Leveszi a külső réteget, alkalmazza a házirendet és továbbítja a belső csomagot, így minden továbbított csomag egy ponton olvasható formában létezik a gazdagép memóriájában. Ez a tervezés, nem hiba. Ezért az átjáró kompromittálódása más esemény, mint az alagút kriptográfiájának kompromittálódása.

Amit a támadó először nyer, az a pozíció: a továbbított forgalom megfigyelésének, a továbbítás módosításának vagy egy backend helyett adott válasznak a képessége. Amit utána nyer, a gazdagéptől függ, és itt az emberek túlbecsülik. Az átjáróhoz való hozzáférés önmagában nem adja át a böngésző TLS-munkamenetkulcsait, mert azok soha nem voltak az átjárón.

Három expozíció, amelyek nem egyforma méretűek

Ossza fel a kérdést továbbított forgalomra, elérhető rendszerekre és tárolt titkokra, majd válaszoljon mindegyikre külön.

A középső sor az, amelyet kihagynak. Az átjárónak általában van útvonala a magánhálózatokba és olyan forrás címe, amelyben a backendek már bíznak, tehát az érdekes kérdés az, hogy ezek a backendek mit engedélyeznek arról a címről. A szűk klienshozzáférési szabályzat jó kontroll, de a gazdagépen lévő támadó nincs arra a felületre korlátozva, amelyet egy normál kliens használna.

Az alsó sor dönti el, mennyi ideig tart az incidens. Egy szerverkulcs és egy CA-kulcs teljesen eltérő hatókörrel rendelkezik, akárcsak egy helyi rendszergazdai fiók és egy csak olvasható megfigyelési token.

Az alagúton belüli HTTPS továbbra is HTTPS

Az alkalmazás TLS-e az alkalmazásban végződik, nem a VPN-átjárón, ezért a kompromittált átjáró ezeknél a folyamoknál rejtjelet lát. Ez valódi korlátja annak, amit a támadó kap, és érdemes tisztán kimondani, mert az ellenkező állítás pánikot és rossz döntéseket terjeszt. Két feltétel töri meg. Ha megbízható tanúsítvánnyal rendelkező ellenőrző komponens van az útvonalon, az átjáró a tervezés szerint sima szöveget láthat. Ha maga az alkalmazás végpontja kompromittált, az alagút irreleváns.

Tehát a válasz arra, mit láttak, feltételes, és feltételekként kell leírni, nem ítéletként kihirdetni.

Mit kell megváltoztatni, mielőtt újra megbízik benne

A gazdagép újjáépítése szükséges és ritkán elegendő. Az a támadó, aki még mindig rendelkezik egy felügyeleti fiókkal, egy telepítési hitelesítő adattal vagy egy aláíró kulccsal, visszaállíthatja a gazdagépet, ahogy akarja. A helyreállításnak olyan adminisztrációs útvonalról kell indulnia, amely nem függ a kompromittált géptől.

Mielőtt eldönti, mit kell forgatni, vegye számba, mi volt rajta. Kulcsok, szolgáltatásfiókok, API-tokenek, helyi felhasználók, ütemezett feladatok, bizalmi kapcsolatok és a telepítési folyamat mind jelöltek, és mindegyiknek van egy tulajdonosa, akinek ezt meg kell erősítenie.

ss -lntup
getent passwd
crontab -l
ip route show table all

Ez a lista a leggyorsabb módja annak, hogy lássa, mit kínált a gazdagép és hová juthatott el. Először őrizze meg a bizonyítékokat, a reagálás tulajdonosának folyamata szerint, mert az újjáépítés pontosan azt semmisíti meg, amire egy vizsgálatnak szüksége van. A NIST SP 800-61 3. kiadása a felkészülést, az észlelést, a reagálást és a helyreállítást egyetlen kockázati folyamat részeinek tekinti, nem újraindítási utasításnak.

Határok, amelyek olcsóbbá teszik a következőt

Négy határt érdemes felépíteni, mielőtt szüksége lenne rájuk. Tartson fenn független helyreállítási útvonalat, amely nem az átjárón keresztül hitelesít. Tartsa az aláírási jogosultságot külön a forgalmat kiszolgáló gazdagéptől. Korlátozza, hová érhet el az átjáró, hogy egy kompromittált átjáró ne legyen automatikusan kompromittált felügyeleti hálózat. És jegyezze fel, kié az egyes hitelesítő adat, hogy a forgatás egy telefonhívás legyen régészeti projekt helyett.

Ezek egyike sem akadályozza meg a kompromittálódást. Behatárolják, és megteszik a különbséget egy rossz hét és egy rossz negyedév között.