Gerbang VPN Anda telah disusupi: apa yang sebenarnya terekspos
Gerbang VPN yang diretas melihat ke dalam terowongannya sendiri, tetapi itu bukan berarti menguasai setiap sesi. Pisahkan lalu lintas, jangkauan, dan rahasia tersimpan sebelum pemulihan.
Gerbang VPN berada di ujung terowongan yang dilindunginya, yang berarti gerbang itu mengakhiri enkripsi tersebut, bukan meneruskannya. Jika penyerang mengendalikan host, terowongan tetap terlihat sehat dari luar sementara mesin di tengahnya tidak lagi dapat dipercaya. Pertanyaan yang berguna bukanlah apakah semuanya didekripsi. Pertanyaannya adalah apa yang dapat dilihat host itu, ke mana ia dapat menjangkau, dan rahasia apa yang benar-benar tersimpan di atasnya. Ketiga jawaban itu sangat berbeda, dan responsnya ikut berbeda.
Gerbang mengakhiri terowongan, jadi ia melihat ke dalamnya
Enkripsi dalam VPN berjalan lompat demi lompat, dan gerbang adalah lompatan itu. Ia melepas lapisan luar, menerapkan kebijakan, dan meneruskan paket dalam, sehingga setiap paket yang diangkut pernah ada dalam bentuk terbaca di memori host tersebut. Itu desain, bukan cacat. Itu juga sebabnya kompromi gerbang adalah peristiwa berbeda dari kompromi kriptografi terowongan.
Yang pertama didapat penyerang adalah posisi: kemampuan mengamati lalu lintas yang diangkut, mengubah penerusan, atau menjawab menggantikan backend. Apa yang didapat berikutnya bergantung pada host, dan di sinilah orang berlebihan menilai. Akses ke gerbang saja tidak menyerahkan kunci sesi TLS peramban, karena kunci itu tidak pernah ada di gerbang.
Tiga paparan yang tidak sama besar
Pisahkan pertanyaan menjadi lalu lintas yang diangkut, sistem yang dapat dijangkau, dan rahasia tersimpan, lalu jawab masing-masing secara terpisah.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Baris tengah adalah yang dilewati. Gerbang biasanya memiliki rute ke jaringan privat dan alamat sumber yang sudah dipercaya backend, sehingga pertanyaan menariknya adalah apa yang diizinkan backend itu dari alamat tersebut. Kebijakan akses klien yang sempit adalah kontrol yang baik, tetapi penyerang di host tidak terbatas pada antarmuka yang akan dipakai klien normal.
Baris bawah menentukan berapa lama insiden berlangsung. Kunci server dan kunci CA memiliki radius dampak yang sama sekali berbeda, begitu pula akun admin lokal dan token pemantauan hanya-baca.
HTTPS di dalam terowongan tetap HTTPS
TLS aplikasi berakhir di aplikasi, bukan di gerbang VPN, sehingga gerbang yang disusupi hanya mengamati teks tersandi untuk aliran tersebut. Itu batas nyata atas apa yang didapat penyerang, dan layak dikatakan terus terang, karena klaim sebaliknya menyebarkan kepanikan dan keputusan buruk. Dua kondisi mematahkannya. Jika ada komponen inspeksi dengan sertifikat tepercaya di jalur, gerbang dapat melihat teks polos secara desain. Jika titik akhir aplikasi itu sendiri disusupi, terowongan menjadi tidak relevan.
Jadi jawaban atas apa yang mereka lihat bersifat bersyarat, dan sebaiknya dicatat sebagai syarat, bukan diumumkan sebagai putusan.
Apa yang harus berubah sebelum Anda memercayainya lagi
Membangun ulang host itu perlu dan jarang cukup. Penyerang yang masih memegang akun manajemen, kredensial penerapan, atau kunci penandatanganan dapat mengembalikan host seperti yang diinginkannya. Pemulihan harus dimulai dari jalur administrasi yang tidak bergantung pada mesin yang disusupi.
Inventarisasikan apa yang ada di sana sebelum memutuskan apa yang akan dirotasi. Kunci, akun layanan, token API, pengguna lokal, tugas terjadwal, hubungan kepercayaan, dan pipeline penerapan semuanya kandidat, dan masing-masing punya pemilik yang seharusnya mengonfirmasinya.
ss -lntup
getent passwd
crontab -l
ip route show table allDaftar itu adalah cara tercepat untuk melihat apa yang ditawarkan host dan ke mana ia dapat menjangkau. Amankan bukti terlebih dahulu, menurut proses pemilik respons, karena pembangunan ulang menghancurkan persis apa yang dibutuhkan penyelidikan. NIST SP 800-61 Revisi 3 memperlakukan persiapan, deteksi, respons, dan pemulihan sebagai bagian dari satu proses risiko, bukan sebagai instruksi mulai ulang.
Batas yang membuat kejadian berikutnya lebih murah
Empat batas layak dibangun sebelum Anda membutuhkannya. Pertahankan jalur pemulihan mandiri yang tidak mengautentikasi melalui gerbang. Pertahankan wewenang penandatanganan terpisah dari host yang melayani lalu lintas. Batasi jangkauan gerbang, agar gerbang yang disusupi tidak otomatis menjadi jaringan manajemen yang disusupi. Dan catat siapa pemilik setiap kredensial, agar rotasi menjadi satu panggilan telepon, bukan proyek arkeologi.
Tak satu pun dari ini mencegah kompromi. Semuanya membatasinya, dan membuat perbedaan antara satu minggu buruk dan satu kuartal buruk.