VPN-gáttin þín er brotin: hvað er í raun afhjúpað

VPN-gátt stendur við enda gangsins sem hún verndar, sem þýðir að hún lýkur þeirri dulkóðun í stað þess að láta hana í gegn. Ef árásarmaður stýrir hýsilnum virðist gangurinn enn heilbrigður að utan á meðan vélin í miðjunni er ekki lengur traust. Gagnlega spurningin er ekki hvort allt sé afkóðað. Hún er hvað sá hýsill gat séð, hvert hann gat náð, og hvaða leyndarmál voru í raun geymd á honum. Þessi þrjú svör eru mjög ólík, og viðbragðið er ólíkt með þeim.

Gáttin lýkur ganginum, svo hún sér inn í hann

Dulkóðun í VPN fer hopp fyrir hopp, og gáttin er hoppið. Hún fjarlægir ytra lagið, beitir stefnu og sendir innra pakkann áfram, svo hver fluttur pakki er á einhverjum tímapunkti í læsilegu formi í minni þess hýsils. Það er hönnunin en ekki galli. Þess vegna er málamiðlun gáttarinnar annar atburður en málamiðlun dulritunar gangsins.

Það fyrsta sem árásarmaðurinn vinnur er staða: hæfileikinn til að fylgjast með fluttri umferð, breyta framsendingu eða svara í stað bakenda. Það sem hann vinnur næst fer eftir hýsilnum, og hér ofmeta menn. Aðgangur að gáttinni einni og sér afhendir ekki TLS-setulykla vafrans, því þeir voru aldrei á gáttinni.

Þrjár afhjúpanir sem eru ekki jafn stórar

Skiptu spurningunni í flutta umferð, aðgengileg kerfi og geymd leyndarmál, og svaraðu svo hverri fyrir sig.

Miðröðin er sú sem er sleppt. Gátt hefur venjulega leið inn í einkanet og upprunavistfang sem bakendarnir treysta þegar, svo áhugaverða spurningin er hvað þessir bakendar leyfa frá því vistfangi. Þröng stefna fyrir aðgang viðskiptavina er góð stjórnun, en árásarmaður á hýsilnum er ekki bundinn við það viðmót sem venjulegur viðskiptavinur myndi nota.

Neðri röðin ræður því hversu lengi atvikið varir. Þjónlykill og CA-lykill hafa gjörólíkan áhrifaradíus, og það sama á við um staðbundinn stjórnandaaðgang og skrifvarinn eftirlitstákn.

HTTPS inni í ganginum er enn HTTPS

TLS forritsins endar í forritinu, ekki við VPN-gáttina, svo brotin gátt fylgist með dulrituðum texta fyrir þessi flæði. Það er raunveruleg takmörkun á því sem árásarmaðurinn fær, og það er þess virði að segja það skýrt, því gagnstæð fullyrðing dreifir læti og slæmum ákvörðunum. Tvö skilyrði brjóta það. Ef skoðunarhluti með traustu skírteini er á leiðinni getur gáttin séð venjulegan texta að hönnun. Ef endapunktur forritsins sjálfs er brotinn er gangurinn óviðkomandi.

Svo svarið við því hvað þau sáu er skilyrt, og ætti að skrifa það sem skilyrði frekar en að tilkynna það sem dóm.

Hvað verður að breytast áður en þú treystir því aftur

Endurbygging hýsilsins er nauðsynleg og sjaldan nægjanleg. Árásarmaður sem enn hefur stjórnunaraðgang, dreifingarskilríki eða undirskriftarlykil getur sett hýsilinn aftur eins og honum sýnist. Endurheimt verður að byrja á stjórnunarleið sem er ekki háð brotnu vélinni.

Gerðu skrá yfir hvað var á honum áður en þú ákveður hvað á að snúa. Lyklar, þjónustuaðgangar, API-tákn, staðbundnir notendur, tímasett verk, traustsambönd og dreifingarleiðin eru allt kandídatar, og hver hefur eiganda sem ætti að staðfesta það.

ss -lntup
getent passwd
crontab -l
ip route show table all

Sú skrá er fljótlegasta leiðin til að sjá hvað hýsillinn bauð og hvert hann gat náð. Varðveittu sönnunargögnin fyrst, samkvæmt ferli eiganda viðbragðsins, því endurbygging eyðileggur einmitt það sem rannsókn þarf. NIST SP 800-61 endurskoðun 3 lítur á undirbúning, greiningu, viðbragð og endurheimt sem hluta af einu áhættuferli frekar en sem endurræsingarfyrirmæli.

Mörk sem gera það næsta ódýrara

Fjögur mörk er þess virði að byggja áður en þú þarft þau. Haltu sjálfstæðri endurheimtarleið sem auðkennir sig ekki í gegnum gáttina. Haltu undirskriftarvaldi aðskildu frá hýsilnum sem þjónar umferð. Takmarkaðu hvert gáttin getur náð, svo brotin gátt sé ekki sjálfkrafa brotið stjórnunarnet. Og skráðu hver á hvert skírlíki, svo snúningur sé símtal í stað fornleifaverkefnis.

Ekkert þessara kemur í veg fyrir málamiðlun. Þau afmarka hana, og gera muninn á slæmri viku og slæmum ársfjórðungi.