გეხებათ თუ არა CVE-2019-14899? საკონტროლო სია ბირთვისთვის

სკანერი აღნიშნავს CVE-2019-14899-ს მანქანაზე, რომელიც წლების განმავლობაში VPN-ს ამუშავებს, და პირველი იმპულსია VPN-ის გატეხილად გამოცხადება. ეს არასწორი ჩარჩოა. გამჟღავნებული საკითხი ეხება თავდამსხმელს მსხვერპლის ლოკალურ ქსელში, რომელიც ასკვნის ინფორმაციას გარკვეულ TCP კავშირებზე და არა ვებსაიტს, რომელიც თქვენს გვირაბს გაშიფრავს.

გაიარეთ ქვემოთ მოცემული ოთხი შემოწმება თანმიმდევრობით. თითოეული ან ავიწროებს პრობლემას, ან ამთავრებს გამოძიებას.

შემოწმება 1: ფარავს თუ არა გაფრთხილება თქვენს ბირთვს

მოძებნეთ თქვენი დისტრიბუტივის საკუთარი ჩანაწერი და არა ბლოგის შეჯამება გამოშვების თარიღზე. Ubuntu-ს უსაფრთხოების გვერდი ამ CVE-ისთვის 18.04 LTS-ის ზოგად linux პაკეტს ჩამოთვლის დაუცველად გადავადებული შესწორებით და სხვა ბირთვის პაკეტებს ცალკეულ სტრიქონებში აკვირდება. შეუსაბამეთ თქვენი მოქმედი გამოშვება და ბირთვის პაკეტი სწორ სტრიქონს. ნაცნობი შთაბეჭდილების მქონე ვერსიის ნომერი შესაბამისობა არ არის.

სკანერის შედეგი ნიშნავს, რომ იდენტიფიკატორი ეხება რაღაცას თქვენს ინვენტარში. ეს არ ნიშნავს, რომ მეზობელმა მოწყობილობამ გამოიყენა მანქანა.

შემოწმება 2: ვინ არის თავდამსხმელი მოდელში

საფრთხის მოდელი ვარაუდობს მეზობელ თავდამსხმელს, რომელსაც შეუძლია მსხვერპლის წვდომის ქსელთან ურთიერთობა. ეს კონკრეტული პოზიციაა და არა თვითნებური დისტანციური სერვისი, რომელსაც თქვენი გასასვლელი კვანძი არ მოსწონს. თუ მომხმარებლები კაფედან უკავშირდებიან, ვარაუდი რეალურია; თუ ისინი მართული კორპორატიული ლოკალური ქსელის უკან არიან, ეს სხვა საუბარია.

დატოვეთ ღიად ლოკალური ქსელის ნდობის საკითხი მაშინაც, როცა გვირაბი დაშიფრულია. დაშიფვრა პასუხობს მეზობლობისგან განსხვავებულ კითხვას.

შემოწმება 3: რომელ ფენას ეყრდნობით

სწორად ვალიდირებული HTTPS თავისივე დაცვას აძლევს აპლიკაციის ჩანაწერებს და TLS 1.3 ამ მონაცემებს ბოლოდან ბოლომდე ამოწმებს. ის არ გპირდებათ, რომ თავდამსხმელი ვერ შეწყვეტს ქვეშმყოფ TCP კავშირს. ამიტომ აპლიკაცია შეიძლება იყოს უსაფრთხო წასაკითხად და მაინც შესაწყვეტი, და შეწყვეტა არ არის იგივე შედეგი, რაც გამჟღავნება. გაყავით ეს ორი რისკის შეფასებამდე.

ეს განსხვავება მნიშვნელოვანია მოხსენებისთვის. ის ბუნდოვან მტკიცებას VPN-ის არაუსაფრთხოების შესახებ აქცევს შეზღუდულ განცხადებად იმის შესახებ, რისი დაკვირვება ან შეწყვეტა შეეძლო მეზობელ თავდამსხმელს.

შემოწმება 4: რომელი შერბილების ზომა დანერგეთ სინამდვილეში

გამჟღავნება განიხილავს მარშრუტიზაციისა და ფილტრაციის შერბილების ზომებს და ცხადად ამბობს მათ საზღვრებზე, მათ შორის უკუბილიკის ფილტრაციასა და ასიმეტრიულ მარშრუტებზე. ნუ ჩასვამთ ერთ sysctl მნიშვნელობას ყველა VPN ჰოსტზე და ნუ იტყვით, რომ მოგვარდა. უკუბილიკის ფილტრაცია მარშრუტიზაციასთან ურთიერთქმედებს, ამიტომ ერთი ტოპოლოგიისთვის სასარგებლო მნიშვნელობა შეიძლება მეორე გააფუჭოს.

შემოწმება ბრძანებაა და არა მოსანიშნი უჯრა. sysctl net.ipv4.conf.all.rp_filter აჩვენებს გლობალურ მნიშვნელობას, ხოლო sysctl net.ipv4.conf.tun0.rp_filter ინტერფეისის მნიშვნელობას, რომელიც ნამდვილად მოქმედებს. წაიკითხეთ ორივე ნებისმიერი ცვლილების წინ და შემდეგ.

გამოიყენეთ დისტრიბუტივის მითითებები და თქვენი მარშრუტიზაციის დიზაინი, შემდეგ დაადასტურეთ პარამეტრი გვირაბის მატარებელ ინტერფეისზე და არა ფაილში, რომელიც არავის ჩაუტვირთავს.

რა უნდა ჩაიწეროს

ჩაწერეთ მეზობელი თავდამსხმელის ვარაუდი, მოქმედი ბირთვის პაკეტი, შედარებული გაფრთხილების სტრიქონი, დანერგილი შერბილების ზომა და მისი გამოყენების ადგილი, ასევე არსებული აპლიკაციის დაცვები. დაამატეთ თარიღი, როცა შეამოწმეთ გაფრთხილება, რადგან ეს გვერდები იცვლება. ეს კომბინაცია დასაცავი შეფასებაა.

ოპერაციული სისტემის გამოშვების თარიღი და მოქმედი VPN კავშირი არ არის შეფასება. ეს ორი ფაქტია, რომელთა შეგროვებაც შემთხვევით ადვილია.