TunnelCrack gegn TunnelVision: hvað hvor um sig brýtur í raun

Tvö rannsóknarnöfn eru notuð til skiptis um alla VPN-umferð sem fer út úr göngunum, en aðferðirnar að baki þeim eru ekki þær sömu. TunnelCrack lýsir tveimur fjölskyldum leiðarundantekninga; TunnelVision lýsir leið sem DHCP skilar á endapunktinn. Hvorugt brýtur dulkóðunina, og hvorugt segir þér hvað tiltekin útgáfa biðlarans gerir í dag. Fimm athuganir aðskilja aðferðirnar frá fyrirsögninni.

Fyrsta skref: nefndu aðferðina sem þú ert að fara yfir

TunnelCrack-tilkynningin frá ágúst 2023 lýsir tveimur fjölskyldum árása. Í tilviki staðarnetsins fær umferð sem biðlarinn telur tilheyra staðarnetinu undantekningu um staðbundinn aðgang og fer út úr göngunum. Í tilviki þjónaðrassins er leiðin sem biðlarinn þarf til að ná VPN-þjóninum sjálfum utan göngunnar, og andstæðingur sem stjórnar því vistfangi getur nýtt sér undantekninguna.

TunnelVision er sérstök skýrsla um stéttlausar fastar leiðir sem DHCP skilar. Illgjarn DHCP-þjónn getur gefið endapunktinum leiðir sem breyta því hvaða slóð umferðin tekur, þar á meðal slóðinni að VPN-þjóninum. Skýrslan viðurkennir fyrri vinnu um tengd leiðaráhrif, sem minnir á að undirliggjandi aðferð er eldri en nafnið.

Haltu nöfnunum tengdum aðferðum sínum. Að beita lagfæringu fyrir aðra vegna þess að hin er í fréttum er leiðin sem endurskoðun framleiðir hreyfingu án umfangs.

Annað skref: skoðaðu undantekninguna um staðbundinn aðgang

Flestir biðlarar undanþiggja umferð staðarnetsins svo prentarar, skjávarpun og skráardeiling virki áfram meðan göngin eru uppi. Sú undantekning er stefnuákvörðun með öryggiskostnaði: andstæðingur í sama neti getur kynnt sig sem staðbundinn hýsil, og umferðin sem nær til hans fór aldrei inn í göngin.

Spurðu hvort uppsetta sniðið þurfi undantekninguna yfirleitt. Fjarvinnuafl sem notar aldrei staðbundna uppgötvun getur oft slökkt á henni, og hægt er að ná í þær staðbundnu þjónustur sem eftir eru með skjalfestri slóð. Þar sem undantekningin er nauðsynleg skaltu segja hvaða áfangastaði hún nær yfir í stað þess að lýsa henni sem staðbundinni umferð.

Athugunin er spurning um stillingar, ekki pakkafanga. Lestu stillingu sniðsins og skjöl biðlarans fyrir þá útgáfu sem þú setur upp, því sjálfgefið gildi er ólíkt milli vara og milli útgáfa sömu vöru. Skrifaðu svarið við hlið sniðsins, svo næsti yfirferðarmaður þurfi ekki að álykta það af hegðun. Undantekning sem enginn skjalfesti er undantekning sem enginn fer yfir.

Þriðja skref: skoðaðu hvernig vistfang þjónsins er lært

Biðlarinn verður að ná VPN-þjóninum áður en nokkur göng eru til, svo sá áfangastaður er leiðbeint utan göngunnar að hönnun. Ef vistfangið er lært af nafni er leysiprepið hluti traustleiðarinnar, og andstæðingur sem getur svarað þeirri fyrirspurn getur beint biðlaranum að hýsli sem hann stjórnar.

Að festa vistfangið, nota staðfesta vottorð með réttu nafni og neita að falla aftur á óstaðfestan þjón minnka öll áhrifin. Ekkert þeirra fjarlægir þörfina á að ná þjóninum utan göngunnar; þau breyta því hver getur svarað fyrir það vistfang.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Leiðarleitin sýnir viðmótið sem biðlarinn myndi nota fyrir vistfang þjónsins, sem er undantekningin í áþreifanlegri mynd. Ef leitin skilar viðmóti ganganna getur biðlarinn alls ekki komið göngunum upp, svo ytri leið er væntanleg og spurningin er aðeins hvernig áfangastaður hennar er valinn.

Fjórða skref: skoðaðu leiðir sem DHCP skilar

Stéttlausar fastar leiðir gera DHCP-þjóni kleift að úthluta færslum í leiðartöflunni, og endapunkturinn samþykkir þær venjulega án þess að spyrja. Í neti þar sem andstæðingur getur svarað DHCP hraðar en löglegur þjónn geta þær færslur vísað umferð sem notandinn telur vera inni í göngunum annað.

Berðu leiðirnar á endapunktinum saman við leiðirnar sem þú væntir. Sjálfgefin leið eða breitt forskeyti sem bendir á staðbundna gáttina meðan göngin eru uppi er einkennið sem er þess virði að rannsaka, og það sést án nokkurrar árásarumferðar.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Síðasta stillingin er stjórnunin á endapunktinum sem margir biðlarar og pallar bjóða á einhvern hátt: hunsa leiðir sem netið skilar. Að slökkva á sjálfvirkri móttöku leiða er málamiðlun, því það slekkur líka á lögmætri skiptri leiðsögn frá fyrirtækja-DHCP-þjóni, svo ákveddu það eftir netflokki en ekki á heimsvísu.

Fimmta skref: aðskildu tilkynninguna frá núverandi útgáfu

Birt árás lýsir hegðun sem sást í tilteknum útgáfum biðlarans á tilteknum tíma. Hún sannar ekki að fartölvan fyrir framan þig sé fyrir áhrifum, og hún sannar ekki að búið sé að laga hana. Báðar fullyrðingarnar þurfa raunverulega útgáfunúmerið og núverandi tilkynningu söluaðilans.

Skráðu útgáfu biðlarans, pallinn, stillingar sniðsins sem stýra undantekningunum hér að ofan og dagsetninguna sem þú athugaðir. Sú skrá eldist heiðarlega, en athugasemd sem segir að VPN hafi verið plástrað gegn TunnelCrack eldist ekki heiðarlega. Lestu hana aftur í hvert sinn sem biðlarinn uppfærist, því sjálfgefið gildi sniðs getur breyst undir útgáfu sem þú snertir ekki.

Þegar þú staðfestir í raun skaltu nota samþykkta áætlun gegn eigin endapunkti og skaðlausum áfangastað. Að endurtaka árásina gegn öðrum notendum á sameiginlegu neti er ekki próf, og að slökkva á jafningjastaðfestingu eða dulkóðun forrits til að auðvelda athugun fjarlægir þá vernd sem þú varst að reyna að mæla.

Að lokum skaltu halda vernd á forritslaginu í myndinni. Leiðarundantekning getur afhjúpað umferð sem göngin hefðu borið, og TLS forritsins verndar þá umferð enn frá enda til enda. Lögin tvö bregðast óháð, þess vegna er tengdur stjórnrás ekki sönnun þess að hver straumur hafi farið þá leið sem var ætlað.