Ո՞ր VPN գործընթացին է վերաբերում խոցելիության այդ հայտնաբերումը։

Սկաների արդյունքը նշում է հասցե, պորտ և ինչ-որ բան, ինչի շուրջ այնտեղ պայմանավորվել են։ Այն չի նշում այդ սոկետի հետևում գտնվող գործընթացը, և VPN հոսթում մի քանի գործընթաց կարող են կիսել մեքենան, մինչդեռ դրանցից միայն մեկն է թունելը։ Կողային գործիքից տարբերակի տող կարդալը կամ սկավառակի վրա գրադարանի ֆայլ գտնելը ապացույց է ավելացնում հոսթի, ոչ թե լսողի մասին։ Հայտնաբերումը դառնում է գործողության ենթակա միայն այն ժամանակ, երբ այն կցվում է մեկ աշխատող բաղադրիչի և հետո համապատասխանեցվում է ծանուցման իրականում նշած շրջանակին։

Հերթականությունը կարևոր է. նախ բաղադրիչը, երկրորդը ծանուցումը, երրորդը ուղղումը։

Զեկույցը նշում է պորտ, ոչ թե ծրագիր

Սկսեք այն վերջնակետից, որն իրականում գնահատվել է։ HTTPS կառավարման պորտի դեմ ստուգումը չափել է վեբ ծառայությունը, դրա TLS կույտը և դիմացի ցանկացած պրոքսի. այն ոչինչ չիմացավ մեկ այլ պորտի OpenVPN կամ WireGuard լսողի մասին։ Հակադարձ պրոքսիները և կառավարման գործակալները վատթարացնում են վիճակը, քանի որ վկայագիրը և բանները կարող են պատկանել առջևի մասին, մինչ խոցելի գրադարանը գտնվում է դրա հետևում՝ ֆոնային գործընթացում։

Գրանցեք նպատակակետը, տրանսպորտը, պորտը և ծառայության անունը արդյունքի հետ միասին, որպեսզի շրջանակը ճամփորդի հայտնաբերման հետ։

Ինչ է իրականում աշխատող կառուցվածքը

Ընդհանուր նպատակի հոսթում տեղադրված փաթեթը և բեռնված գրադարանը առանձին հարցեր են։ Փաթեթների տվյալների բազան կարող է նշել ուղղված տարբերակ, մինչ երկար աշխատող դեմոնը դեռ պահում է հին ընդհանուր օբյեկտը հիշողության մեջ, և ներկառուցված սարքի պատկերը կարող է կրել իր սեփական գրադարանները, որոնց մասին ոչ մի փաթեթների կառավարիչ չի հայտնում։ Հարցրեք ծառայությունների կառավարչին՝ ինչ է աշխատում, ապա ստուգեք գործընթացը և դրա կապերը։

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Գործընթացների ցանկում մեկնարկի ժամանակը այն մանրամասնությունն է, որը մարդիկ բաց են թողնում։ Վերջին փաթեթների թարմացումից առաջ մեկնարկած դեմոնը դեռ աշխատում է այն կառուցվածքով, որը բեռնել է բեռնման պահին, և սա հենց այն դեպքն է, երբ գույքագրումն ասում է՝ ուղղված է, իսկ սոկետն այլ բան է ասում։

Կառուցվածքը ծանուցման շրջանակին համապատասխանեցնելը

Ծանուցումները նկարագրում են ապրանքներ, տարբերակներ և երբեմն պահանջվող պայմաններ, և այդ երեք դաշտերը միշտ չէ, որ համընկնում են փաթեթի տարբերակի հետ։ OpenVPN-ի 2014 թվականի ապրիլի Heartbleed ծանուցումը օգտակար պատմական օրինակ է, քանի որ այն առանձնացնում է տուժած Access Server թողարկումները վեբ ծառայություններից և VPN դեմոններից, որոնք տարբեր ազդեցություն ունեին։ Դասը այն է՝ կարդալ, թե տեքստը որ բաղադրիչն է ընդգրկում, այլ ոչ թե OpenSSL բառը համապատասխանեցնել ձևանմուշով։

Այդ ծանուցումը նաև հնացած է։ Դրա ուղղված թողարկման համարներն այժմ տեղադրման խորհուրդ չեն, և 2014 թվականին ուղղված թերությունը ոչինչ չի ասում այսօր ձեր գործարկած ճյուղի հետագա խնդիրների մասին։

Տարաձայնության լուծում, ապա ազդեցության փակում

Երբ գույքագրումն ու գնահատումը տարբերվում են, ստուգեք՝ արդյոք երկուսն էլ նկարագրում են նույն վերջնակետը և նույն գործարկման միջավայրը՝ այլ հասցե, առջևի պրոքսի, երկրորդ ծառայություն, պորտին դեռ կապված հին գործընթաց, կամ ներկառուցված գրադարան, որը փաթեթների կառավարիչը երբեք չի տեսել։ Լուծեք դա սահմանին՝ նախքան զեկույցը վերաշարադրելը։

Կիրառեք աջակցվող ուղղումը, վերագործարկեք տուժած ծառայությունը և հաստատեք, որ նոր կառուցվածքն է այժմ աշխատում։ Սկավառակի վրա ուղղված ֆայլը, մինչ հին գործընթացը դեռ սպասարկում է երթևեկությունը, ուղղում չէ։

Ապա զբաղվեք այն բանով, ինչ բաղադրիչը կարող էր պահել ազդեցության պատուհանի ընթացքում։ Կարկատելը և հավատարմագրերի փոխարինումը տարբեր հարցերի պատասխան են տալիս, և տուժած հոսթի մոտ պահվող վկայագիրն ինքնին արտահոսածի ցանկ չէ։ Հետևեք միջադեպի սեփականատիրոջ ընթացակարգին՝ չեղարկման, սեսիաների հեռացման և հաճախորդների թարմացումների համար, և գրանցեք, թե որ բաղադրիչն է տուժել, ինչու էին ապացույցները կիրառելի և ինչն է այն փակել։ Այդ գրառումն է, որ կկարդա ավելի ուշ վերանայումը։