Ձեր VPN դարպասը վտանգված է. ինչն է իրականում բացահայտված
Կոտրված VPN դարպասը տեսնում է իր թունելի ներսը, բայց դա չի նշանակում տիրել բոլոր նստաշրջաններին։ Վերականգնումից առաջ առանձնացրեք երթեւեկությունը, հասանելիությունը եւ պահված գաղտնիքները։
VPN դարպասը գտնվում է այն թունելի վերջում, որը պաշտպանում է, այսինքն՝ այն ավարտում է այդ գաղտնագրումը, այլ ոչ թե այն անցկացնում է։ Եթե հարձակվողը վերահսկում է հոսթը, թունելը դրսից շարունակում է առողջ երեւալ, մինչդեռ մեջտեղի մեքենան այլեւս վստահելի չէ։ Օգտակար հարցը այն չէ, թե արդյոք ամեն ինչ վերծանվում է։ Հարցը այն է, թե ինչ կարող էր տեսնել այդ հոսթը, ուր կարող էր հասնել եւ ինչ գաղտնիքներ էին իրականում պահված դրա վրա։ Այս երեք պատասխանները շատ են տարբերվում, եւ արձագանքը տարբերվում է դրանց հետ։
Դարպասը ավարտում է թունելը, ուստի տեսնում է ներսը
VPN-ում գաղտնագրումը կատարվում է թռիչք առ թռիչք, եւ դարպասը այդ թռիչքն է։ Այն հանում է արտաքին շերտը, կիրառում է քաղաքականություն եւ փոխանցում ներքին փաթեթը, ուստի յուրաքանչյուր տեղափոխվող փաթեթ ինչ-որ պահի գոյություն ունի ընթեռնելի ձեւով այդ հոսթի հիշողության մեջ։ Սա նախագիծ է, ոչ թե թերություն։ Այդ պատճառով դարպասի կոտրումը տարբեր իրադարձություն է, քան թունելի գաղտնագրության կոտրումը։
Առաջինը, ինչ հարձակվողը ձեռք է բերում, դիրքն է՝ տեղափոխվող երթեւեկությունը դիտելու, փոխանցումը փոփոխելու կամ backend-ի փոխարեն պատասխանելու հնարավորությունը։ Թե ինչ է նա ստանում հետո, կախված է հոսթից, եւ այստեղ մարդիկ գերագնահատում են։ Միայն դարպասին հասանելիությունը չի հանձնում զննարկչի TLS նստաշրջանի բանալիները, քանի որ դրանք երբեք դարպասի վրա չեն եղել։
Երեք բացահայտում, որոնք նույն չափի չեն
Բաժանեք հարցը տեղափոխվող երթեւեկության, հասանելի համակարգերի եւ պահված գաղտնիքների, ապա պատասխանեք յուրաքանչյուրին առանձին։
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Միջին տողն այն է, որը բաց է թողնվում։ Դարպասը սովորաբար ունի երթուղի դեպի մասնավոր ցանցեր եւ աղբյուրի հասցե, որին backend-ները վաղուց վստահում են, ուստի հետաքրքիր հարցն այն է, թե ինչ են թույլատրում այդ backend-ները այդ հասցեից։ Նեղ հաճախորդային հասանելիության քաղաքականությունը լավ վերահսկողություն է, բայց հոսթի վրա գտնվող հարձակվողը սահմանափակված չէ այն ինտերֆեյսով, որը կօգտագործեր սովորական հաճախորդը։
Ներքեւի տողը որոշում է, թե որքան կտեւի միջադեպը։ Սերվերի բանալին եւ CA բանալին ունեն բոլորովին տարբեր ազդեցության շառավիղներ, ինչպես նաեւ տեղական ադմինիստրատորի հաշիվը եւ միայն կարդալու մոնիտորինգի նշանը։
Թունելի ներսում HTTPS-ը դեռ HTTPS է
Հավելվածի TLS-ը ավարտվում է հավելվածում, ոչ թե VPN դարպասում, ուստի կոտրված դարպասը այդ հոսքերի համար տեսնում է գաղտնագրված տեքստ։ Սա իրական սահման է այն բանի համար, ինչ ստանում է հարձակվողը, եւ արժե դա հստակ ասել, որովհետեւ հակառակ պնդումը տարածում է խուճապ եւ վատ որոշումներ։ Երկու պայման խախտում են դա։ Եթե ուղու վրա կա վստահելի վկայականով ստուգման բաղադրիչ, դարպասը կարող է նախագծով տեսնել բաց տեքստ։ Եթե հավելվածի վերջնակետն ինքն է կոտրված, թունելը անիմաստ է։
Ուստի այն հարցի պատասխանը, թե ինչ են նրանք տեսել, պայմանական է, եւ այն պետք է գրի առնել որպես պայմաններ, այլ ոչ թե հայտարարել որպես դատավճիռ։
Ինչ պետք է փոխվի, նախքան նորից վստահելը
Հոսթի վերակառուցումը անհրաժեշտ է եւ հազվադեպ բավարար։ Հարձակվողը, որը դեռ ունի կառավարման հաշիվ, տեղակայման հավատարմագիր կամ ստորագրության բանալի, կարող է հոսթը վերադարձնել իր ուզած ձեւով։ Վերականգնումը պետք է սկսվի վարչական ուղուց, որը կախված չէ կոտրված մեքենայից։
Նախքան որոշելը, թե ինչ պտտել, գույքագրեք, թե ինչ կար դրա վրա։ Բանալիները, սպասարկման հաշիվները, API նշանները, տեղական օգտատերերը, պլանավորված աշխատանքները, վստահության հարաբերությունները եւ տեղակայման գիծը բոլորը թեկնածուներ են, եւ յուրաքանչյուրն ունի տեր, որը պետք է հաստատի դա։
ss -lntup
getent passwd
crontab -l
ip route show table allԱյդ ցանկը ամենաարագ ձեւն է տեսնելու, թե ինչ էր առաջարկում հոսթը եւ ուր կարող էր հասնել։ Նախ պահպանեք ապացույցները, արձագանքի տիրոջ գործընթացով, որովհետեւ վերակառուցումը ոչնչացնում է հենց այն, ինչ անհրաժեշտ է հետաքննությանը։ NIST SP 800-61 3-րդ վերանայումը նախապատրաստումը, հայտնաբերումը, արձագանքը եւ վերականգնումը համարում է մեկ ռիսկի գործընթացի մասեր, այլ ոչ թե վերագործարկման հրահանգ։
Սահմաններ, որոնք հաջորդը դարձնում են ավելի էժան
Չորս սահման արժե կառուցել նախքան դրանց կարիքը։ Պահեք անկախ վերականգնման ուղի, որը չի նույնականացվում դարպասի միջոցով։ Պահեք ստորագրման լիազորությունը առանձին այն հոսթից, որը սպասարկում է երթեւեկությունը։ Սահմանափակեք, թե ուր կարող է հասնել դարպասը, որպեսզի կոտրված դարպասը ինքնաբերաբար կոտրված կառավարման ցանց չլինի։ Եւ գրանցեք, թե ումն է յուրաքանչյուր հավատարմագիր, որպեսզի պտտումը հեռախոսազանգ լինի, այլ ոչ թե հնագիտական նախագիծ։
Այս ոչ մեկը չի կանխում կոտրումը։ Դրանք սահմանափակում են այն եւ տարբերություն են դնում վատ շաբաթի եւ վատ եռամսյակի միջեւ։