Varðar CVE-2019-14899 þig? Gátlisti fyrir kjarnann

Skanni merkir CVE-2019-14899 á vél sem hefur keyrt VPN í mörg ár, og fyrsta viðbragðið er að segja VPN-ið bilað. Það er rangur rammi. Málið sem var opinberað snýst um árásarmann á staðarneti fórnarlambsins sem dregur ályktanir um ákveðnar TCP-tengingar, ekki vefsíðu sem afkóðar göngin þín.

Farðu í gegnum fjórar athuganir hér fyrir neðan í röð. Hver þeirra þrengir vandamálið eða lýkur rannsókninni.

Athugun 1: nær tilkynningin yfir kjarnann þinn

Flettu upp eigin skráningu dreifingarinnar, ekki samantekt bloggs um útgáfudag. Öryggissíða Ubuntu fyrir þetta CVE skráir almenna linux-pakkann fyrir 18.04 LTS sem veikan með frestaðri lagfæringu og fylgir öðrum kjarnapökkum í aðskildum línum. Paraðu keyrandi útgáfu þína og kjarnapakkann við réttu línuna. Útgáfunúmer sem virðist kunnuglegt er ekki samsvörun.

Niðurstaða skanna þýðir að auðkenningin á við eitthvað í birgðaskrá þinni. Það þýðir ekki að nágrannatæki hafi misnotað vélina.

Athugun 2: hver er árásarmaðurinn í líkaninu

Ógnarlíkanið gerir ráð fyrir nærliggjandi árásarmanni sem getur haft samskipti við aðgangsnet fórnarlambsins. Það er ákveðin staða, ekki handahófskennd fjartengd þjónusta sem líkar ekki útgangshnúturinn þinn. Ef notendur tengjast frá kaffihúsi er forsendan raunhæf; ef þeir sitja bak við stýrt fyrirtækjanet er það önnur samræða.

Haltu spurningunni um traust á staðarnetinu opinni jafnvel þótt göngin séu dulkóðuð. Dulkóðun svarar annarri spurningu en nálægð.

Athugun 3: á hvaða lagi treystir þú

Rétt staðfest HTTPS veitir eigin vernd fyrir forritafærslur, og TLS 1.3 sannreynir þau gögn frá enda til enda. Það lofar því ekki að árásarmaður geti ekki rofið undirliggjandi TCP-tengingu. Því getur forrit verið öruggt að lesa og samt rofnað, og rof er ekki sama niðurstaða og upplýsingaleki. Aðskildu þetta tvennt áður en þú metur áhættuna.

Sú aðgreining skiptir máli fyrir skýrsluna. Hún breytir óljósu fullyrðingunni um að VPN-ið sé óöruggt í takmarkaða yfirlýsingu um hvað nærliggjandi árásarmaður gæti séð eða rofið.

Athugun 4: hvaða mótvægisaðgerð settir þú í verk

Opinberunin fjallar um mótvægisaðgerðir í leiðsendingu og síun og er skýr um mörk þeirra, þar á meðal síun bakleiðar og ósamhverfar leiðir. Límdu ekki eitt sysctl-gildi á hvern VPN-hýsil og segðu að það sé lagað. Síun bakleiðar hefur áhrif á leiðsendingu, svo gildi sem hjálpar einni skipan getur brotið aðra.

Athugun er skipun, ekki gátreitur. sysctl net.ipv4.conf.all.rp_filter sýnir almenna gildið, og sysctl net.ipv4.conf.tun0.rp_filter sýnir gildið fyrir hvert viðmót sem gildir í raun. Lestu bæði fyrir og eftir hverja breytingu.

Notaðu leiðbeiningar dreifingarinnar og þína eigin leiðsendingarhönnun, og staðfestu síðan stillinguna á viðmótinu sem ber göngin, ekki í skrá sem enginn hlaðdi.

Hvað á að skrá

Skráðu forsenduna um nærliggjandi árásarmann, keyrandi kjarnapakkann, tilkynningarlínuna sem þú paraðir, mótvægisaðgerðina sem var sett í verk og hvar hún er notuð, og þær forritavarnir sem eru til staðar. Bættu við dagsetningunni þegar þú athugaðir tilkynninguna, því þessar síður breytast. Sú samsetning er verjanlegt mat.

Útgáfudagur stýrikerfis og virk VPN-tenging eru ekki mat. Það eru tvær staðreyndir sem eru tilviljunarkennt auðveldar að safna.