Արդյո՞ք ձեզ վերաբերում է CVE-2019-14899-ը։ Ստուգաթերթ միջուկի համար

Սկաները CVE-2019-14899 է նշում մեքենայի վրա, որն օգտագործում է VPN տարիներ շարունակ, և առաջին արձագանքը VPN-ը կոտրված հայտարարելն է։ Դա սխալ շրջանակ է։ Հրապարակված խնդիրը վերաբերում է զոհի տեղական ցանցում գտնվող հարձակվողին, որը եզրակացնում է տեղեկություն որոշ TCP միացումների մասին, այլ ոչ թե կայքին, որը գաղտնազերծում է ձեր թունելը։

Անցեք ներքևի չորս ստուգումները հերթականությամբ։ Յուրաքանչյուրը կա՛մ նեղացնում է խնդիրը, կա՛մ ավարտում հետաքննությունը։

Ստուգում 1. արդյո՞ք ծանուցումը ծածկում է ձեր միջուկը

Փնտրեք ձեր տարածման սեփական գրառումը, ոչ թե բլոգի ամփոփումը թողարկման ամսաթվի մասին։ Ubuntu-ի անվտանգության էջը այս CVE-ի համար 18.04 LTS-ի ընդհանուր linux փաթեթը նշում է խոցելի՝ ուղղումը հետաձգված, և այլ միջուկի փաթեթներ հետևում է առանձին տողերով։ Համապատասխանեցրեք ձեր աշխատող թողարկումը և միջուկի փաթեթը ճիշտ տողին։ Ծանոթ թվացող տարբերակի համարը համընկնում չէ։

Սկաների արդյունքը նշանակում է, որ նույնացուցիչը վերաբերում է ձեր գույքագրման ինչ-որ բանի։ Այն չի նշանակում, որ հարևան սարքը շահագործել է մեքենան։

Ստուգում 2. ով է հարձակվողը մոդելում

Սպառնալիքի մոդելը ենթադրում է հարակից հարձակվող, որը կարող է փոխազդել զոհի մուտքի ցանցի հետ։ Դա որոշակի դիրք է, ոչ թե կամայական հեռավոր ծառայություն, որին դուր չի գալիս ձեր ելքի հանգույցը։ Եթե օգտվողները միանում են սրճարանից, ենթադրությունը իրատեսական է. եթե նրանք կառավարվող կորպորատիվ տեղական ցանցի հետևում են, դա այլ զրույց է։

Թողեք տեղական ցանցի վստահության հարցը բաց նույնիսկ երբ թունելը գաղտնագրված է։ Գաղտնագրումը պատասխանում է հարակցությունից տարբեր հարցի։

Ստուգում 3. որ շերտի վրա եք հենվում

Ճիշտ վավերացված HTTPS-ը տրամադրում է իր սեփական պաշտպանությունը հավելվածի գրառումների համար, և TLS 1.3-ը վավերացնում է այդ տվյալները ծայրից ծայր։ Այն չի խոստանում, որ հարձակվողը չի կարող ընդհատել հիմքում ընկած TCP միացումը։ Այսպիսով հավելվածը կարող է անվտանգ լինել կարդալու համար և այնուամենայնիվ ընդհատելի, և ընդհատումը նույն արդյունքը չէ, ինչ բացահայտումը։ Առանձնացրեք երկուսը նախքան ռիսկը գնահատելը։

Այդ տարբերությունը կարևոր է զեկույցի համար։ Այն VPN-ի անապահով լինելու անորոշ պնդումը վերածում է սահմանափակ հայտարարության այն մասին, ինչ հարակից հարձակվողը կարող էր դիտել կամ ընդհատել։

Ստուգում 4. ինչ մեղմացում եք իրականում կիրառել

Բացահայտումը քննարկում է երթուղավորման և զտման մեղմացումները և հստակ է դրանց սահմանների մասին, ներառյալ հակադարձ ուղու զտումը և ասիմետրիկ երթուղիները։ Մի՛ կպցրեք մեկ sysctl արժեք յուրաքանչյուր VPN հոսթի վրա և չասեք, որ լուծված է։ Հակադարձ ուղու զտումը փոխազդում է երթուղավորման հետ, ուստի մեկ տոպոլոգիային օգնող արժեքը կարող է կոտրել մյուսը։

Ստուգումը հրաման է, ոչ թե նշման վանդակ։ sysctl net.ipv4.conf.all.rp_filter-ը ցույց է տալիս գլոբալ արժեքը, իսկ sysctl net.ipv4.conf.tun0.rp_filter-ը՝ իրականում գործող ինտերֆեյսային արժեքը։ Կարդացեք երկուսն էլ ցանկացած փոփոխությունից առաջ և հետո։

Օգտագործեք տարածման ուղեցույցը և ձեր սեփական երթուղավորման ձևավորումը, ապա հաստատեք կարգավորումը թունելը կրող ինտերֆեյսի վրա, ոչ թե ֆայլում, որը ոչ ոք չի բեռնել։

Ինչ գրանցել

Գրանցեք հարակից հարձակվողի ենթադրությունը, աշխատող միջուկի փաթեթը, համապատասխանեցված ծանուցման տողը, կիրառված մեղմացումը և դրա կիրառման վայրը, ինչպես նաև առկա հավելվածային պաշտպանությունները։ Ավելացրեք այն ամսաթիվը, երբ ստուգել եք ծանուցումը, որովհետև այդ էջերը փոխվում են։ Այդ համակցությունը պաշտպանելի գնահատական է։

ՕՀ-ի թողարկման ամսաթիվը և աշխատող VPN միացումը գնահատական չեն։ Դրանք երկու փաստ են, որոնք պատահաբար հեշտ է հավաքել։