Apakah Anda Terdampak CVE-2019-14899? Daftar Periksa Kernel

Pemindai menandai CVE-2019-14899 pada mesin yang sudah bertahun-tahun menjalankan VPN, dan naluri pertama adalah menyebut VPN rusak. Itu kerangka yang salah. Masalah yang diungkap menyangkut penyerang di jaringan lokal korban yang menyimpulkan informasi tentang koneksi TCP tertentu, bukan situs web yang mendekripsi terowongan Anda.

Lewati empat pemeriksaan di bawah ini secara berurutan. Masing-masing menyempitkan masalah atau mengakhiri penyelidikan.

Pemeriksaan 1: apakah imbauan mencakup kernel Anda

Telusuri catatan distribusi Anda sendiri, bukan ringkasan tanggal rilis dari blog. Halaman keamanan Ubuntu untuk CVE ini mencantumkan paket linux generik untuk 18.04 LTS sebagai rentan dengan perbaikan ditunda, dan melacak paket kernel lain pada baris terpisah. Cocokkan rilis yang berjalan dan paket kernel Anda dengan baris yang benar. Nomor versi yang tampak familier bukan kecocokan.

Temuan pemindai berarti pengenal itu berlaku untuk sesuatu dalam inventaris Anda. Bukan berarti perangkat tetangga mengeksploitasi mesin tersebut.

Pemeriksaan 2: siapa penyerang dalam model

Model ancaman mengasumsikan penyerang bertetangga yang dapat berinteraksi dengan jaringan akses korban. Itu posisi tertentu, bukan layanan jarak jauh sembarang yang tidak menyukai node keluar Anda. Jika pengguna terhubung dari kafe, asumsinya realistis; jika mereka berada di belakang LAN korporat yang dikelola, itu pembicaraan lain.

Biarkan pertanyaan kepercayaan pada jaringan lokal tetap terbuka bahkan ketika terowongan terenkripsi. Enkripsi menjawab pertanyaan yang berbeda dari ketetanggaan.

Pemeriksaan 3: lapisan mana yang Anda andalkan

HTTPS yang divalidasi dengan benar menyediakan perlindungannya sendiri untuk catatan aplikasi, dan TLS 1.3 mengautentikasi data itu dari ujung ke ujung. Itu tidak menjanjikan penyerang tidak dapat menyela koneksi TCP yang mendasarinya. Jadi aplikasi bisa aman dibaca namun tetap dapat disela, dan penyelaan bukan hasil yang sama dengan pengungkapan. Pisahkan keduanya sebelum menilai risiko.

Perbedaan itu penting untuk laporan. Itu mengubah klaim samar bahwa VPN tidak aman menjadi pernyataan terbatas tentang apa yang bisa diamati atau disela penyerang bertetangga.

Pemeriksaan 4: mitigasi apa yang benar-benar Anda terapkan

Pengungkapan membahas mitigasi perutean dan penyaringan dan tegas soal batasnya, termasuk penyaringan jalur balik dan rute asimetris. Jangan menempelkan satu nilai sysctl pada setiap host VPN lalu menyebutnya beres. Penyaringan jalur balik berinteraksi dengan perutean, jadi nilai yang membantu satu topologi bisa merusak topologi lain.

Verifikasi adalah perintah, bukan kotak centang. sysctl net.ipv4.conf.all.rp_filter menunjukkan nilai global, dan sysctl net.ipv4.conf.tun0.rp_filter menunjukkan nilai per antarmuka yang benar-benar berlaku. Baca keduanya sebelum dan sesudah setiap perubahan.

Gunakan panduan distribusi dan desain perutean Anda sendiri, lalu pastikan pengaturannya pada antarmuka yang membawa terowongan, bukan di berkas yang tidak dimuat siapa pun.

Apa yang perlu dicatat

Catat asumsi penyerang bertetangga, paket kernel yang berjalan, baris imbauan yang Anda cocokkan, mitigasi yang diterapkan dan di mana diterapkan, serta perlindungan aplikasi yang ada. Tambahkan tanggal Anda memeriksa imbauan, karena halaman itu berubah. Kombinasi itu adalah penilaian yang dapat dipertahankan.

Tanggal rilis OS dan koneksi VPN yang berfungsi bukanlah penilaian. Itu dua fakta yang kebetulan mudah dikumpulkan.