TunnelCrack TunnelVision-ის წინააღმდეგ: რას ამტვრევს სინამდვილეში თითოეული
TunnelCrack და TunnelVision სხვადასხვა მარშრუტიზაციის გამონაკლისს ბოროტად იყენებენ: გადახედეთ ლოკალური ქსელის გამონაკლისს, სერვერის მარშრუტს და DHCP 121 პარამეტრს თითოეული კლიენტის ვერსიისთვის.
ორი კვლევითი სახელი ურთიერთშენაცვლებით გამოიყენება ნებისმიერი VPN ტრაფიკისთვის, რომელიც გვირაბიდან გადის, თუმცა მათ უკან მდგარი მექანიზმები ერთნაირი არ არის. TunnelCrack აღწერს მარშრუტიზაციის გამონაკლისების ორ ოჯახს; TunnelVision აღწერს მარშრუტს, რომელსაც DHCP ბოლო მოწყობილობას აწვდის. არც ერთი არ ამტვრევს დაშიფვრას და არც ერთი არ გეუბნებათ, რას აკეთებს დღეს კონკრეტული კლიენტის ვერსია. ხუთი შემოწმება ჰყოფს მექანიზმებს სათაურისგან.
პირველი ნაბიჯი: დაასახელეთ მექანიზმი, რომელსაც ამოწმებთ
2023 წლის აგვისტოს TunnelCrack-ის გამჟღავნება აღწერს თავდასხმის ორ ოჯახს. ლოკალური ქსელის შემთხვევაში, ტრაფიკი, რომელსაც კლიენტი ლოკალური ქსელის ნაწილად მიიჩნევს, იღებს ლოკალური წვდომის გამონაკლისს და გვირაბს ტოვებს. სერვერის მისამართის შემთხვევაში, მარშრუტი, რომელიც კლიენტს თავად VPN სერვერამდე მისასვლელად სჭირდება, გვირაბის გარეთაა, და მოწინააღმდეგე, რომელიც ამ მისამართს აკონტროლებს, შეიძლება გამონაკლისი გამოიყენოს.
TunnelVision ცალკე მოხსენებაა DHCP-ის მიერ მოწოდებული უკლასო სტატიკური მარშრუტების შესახებ. მავნე DHCP სერვერს შეუძლია ბოლო მოწყობილობას მისცეს მარშრუტები, რომლებიც ცვლიან ტრაფიკის გზას, მათ შორის VPN სერვერისკენ მიმავალ გზას. მოხსენება აღიარებს დაკავშირებული მარშრუტიზაციის ეფექტების შესახებ ადრინდელ ნაშრომს, რაც ახსენებს, რომ საფუძვლიანი მექანიზმი სახელზე ძველია.
| Case | Exception it abuses |
|---|---|
| TunnelCrack local network | Traffic classified as local bypasses the tunnel |
| TunnelCrack server address | The route to the VPN server sits outside the tunnel |
| TunnelVision | DHCP option 121 installs routes that redirect traffic |
სახელები მიბმული შეინახეთ მათ მექანიზმებზე. ერთისთვის შესწორების გამოყენება იმიტომ, რომ მეორე ახალ ამბებშია, ის გზაა, რომლითაც მიმოხილვა მოძრაობას ქმნის დაფარვის გარეშე.
მეორე ნაბიჯი: შეხედეთ ლოკალური წვდომის გამონაკლისს
კლიენტების უმეტესობა ლოკალური ქსელის ტრაფიკს ათავისუფლებს, რომ პრინტერები, ეკრანის გადაცემა და ფაილების გაზიარება მუშაობდეს გვირაბის ჩართული ყოფნისას. ეს გამონაკლისია უსაფრთხოების ფასის მქონე პოლიტიკის გადაწყვეტილება: იმავე ქსელში მოწინააღმდეგე შეიძლება წარმოაჩინოს თავი ლოკალურ ჰოსტად, და მასთან მისული ტრაფიკი არასდროს შესულა გვირაბში.
ჰკითხეთ, საერთოდ სჭირდება თუ არა განლაგებულ პროფილს ეს გამონაკლისი. დისტანციური სამუშაო ძალა, რომელიც არასდროს იყენებს ლოკალურ აღმოჩენას, ხშირად შეიძლება გამორთოს იგი, და დარჩენილ ლოკალურ სერვისებზე წვდომა დოკუმენტირებული გზით შეიძლება. სადაც გამონაკლისი აუცილებელია, თქვით რომელი დანიშნულებები ფარავს ის, ნაცვლად იმისა, რომ ლოკალურ ტრაფიკად აღწეროთ.
შემოწმება კონფიგურაციის კითხვაა და არა პაკეტების აღება. წაიკითხეთ პროფილის პარამეტრი და კლიენტის დოკუმენტაცია იმ ვერსიისთვის, რომელსაც აყენებთ, რადგან ნაგულისხმევი მნიშვნელობა განსხვავდება პროდუქტებსა და ერთი და იმავე პროდუქტის ვერსიებს შორის. დაწერეთ პასუხი პროფილის გვერდით, რათა შემდეგ ამოწმებელს ქცევიდან არ მოუწიოს მისი დასკვნა. გამონაკლისი, რომელიც არავის დაუდგენია დოკუმენტურად, ის გამონაკლისია, რომელსაც არავინ ამოწმებს.
მესამე ნაბიჯი: შეხედეთ, როგორ ისწავლება სერვერის მისამართი
კლიენტმა VPN სერვერამდე უნდა მიაღწიოს ნებისმიერი გვირაბის არსებობამდე, ამიტომ ეს დანიშნულება დაპროექტებით გვირაბის გარეთ მარშრუტიზდება. თუ მისამართი სახელიდან ისწავლება, ამოხსნის ნაბიჯი ნდობის გზის ნაწილია, და მოწინააღმდეგე, რომელსაც ამ მოთხოვნაზე პასუხის გაცემა შეუძლია, კლიენტს თავის მიერ კონტროლირებულ ჰოსტზე გადაამისამართებს.
მისამართის დამაგრება, სწორი სახელის მქონე დადასტურებული სერტიფიკატის გამოყენება და დაუდასტურებელ სერვერზე დაბრუნებაზე უარის თქმა ყველა ამცირებს ზემოქმედებას. არც ერთი მათგანი არ აუქმებს გვირაბის გარეთ სერვერამდე მისვლის აუცილებლობას; ისინი ცვლიან, ვის შეუძლია ამ მისამართზე პასუხის გაცემა.
resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule showმარშრუტის ძიება აჩვენებს ინტერფეისს, რომელსაც კლიენტი სერვერის მისამართისთვის გამოიყენებდა, და ეს არის გამონაკლისი კონკრეტული ფორმით. თუ ეს ძიება გვირაბის ინტერფეისს აბრუნებს, კლიენტი საერთოდ ვერ დაამყარებს გვირაბს, ამიტომ გარე მარშრუტი მოსალოდნელია და კითხვა მხოლოდ ისაა, როგორ ირჩევა მისი დანიშნულება.
მეოთხე ნაბიჯი: შეხედეთ DHCP-ის მიერ მოწოდებულ მარშრუტებს
უკლასო სტატიკური მარშრუტები DHCP სერვერს საშუალებას აძლევს გაანაწილოს მარშრუტიზაციის ცხრილის ჩანაწერები, და ბოლო მოწყობილობა, როგორც წესი, მათ კითხვის გარეშე იღებს. ქსელში, სადაც მოწინააღმდეგეს შეუძლია DHCP-ზე უფრო სწრაფად უპასუხოს, ვიდრე კანონიერ სერვერს, ეს ჩანაწერები შეიძლება გადაამისამართოს ტრაფიკი, რომელსაც მომხმარებელი გვირაბის შიგნით მიიჩნევს.
შეადარეთ ბოლო მოწყობილობის მარშრუტები თქვენს მოსალოდნელ მარშრუტებს. ნაგულისხმევი მარშრუტი ან ფართო პრეფიქსი, რომელიც ლოკალურ კარიბჭეზე მიუთითებს გვირაბის ჩართული ყოფნისას, არის ნიშანი, რომლის გამოძიებაც ღირს, და ის ჩანს ყოველგვარი თავდასხმის ტრაფიკის გარეშე.
ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"ბოლო პარამეტრია ბოლო მოწყობილობის მხრიდან კონტროლი, რომელსაც ბევრი კლიენტი და პლატფორმა რაღაც ფორმით ამჟღავნებს: ქსელის მიერ მოწოდებული მარშრუტების იგნორირება. მარშრუტების ავტომატური მიღების გამორთვა კომპრომისია, რადგან ის კორპორატიული DHCP სერვერიდან ლეგიტიმურ გაყოფილ მარშრუტიზაციასაც გამორთავს, ამიტომ გადაწყვიტეთ ის ქსელის კლასის მიხედვით და არა გლობალურად.
მეხუთე ნაბიჯი: გამოყავით შეტყობინება მიმდინარე ვერსიისგან
გამოქვეყნებული თავდასხმა აღწერს ქცევას, რომელიც დაფიქსირდა კონკრეტულ კლიენტის ვერსიებზე კონკრეტულ დროს. ის არ ადასტურებს, რომ თქვენ წინ მდგარი ლეპტოპი დაზარალებულია, და არ ადასტურებს, რომ ის გამოსწორებულია. ორივე მტკიცებას სჭირდება ნამდვილი ვერსიის ნომერი და მომწოდებლის მიმდინარე შეტყობინება.
ჩაწერეთ კლიენტის ვერსია, პლატფორმა, ზემოთ მოცემული გამონაკლისების მმართველი პროფილის პარამეტრები და თარიღი, როცა შეამოწმეთ. ეს ჩანაწერი პატიოსნად ძველდება, მაშინ როცა ჩანაწერი, რომ VPN TunnelCrack-ის გამო განახლდა, პატიოსნად არ ძველდება. გადაკითხეთ ის კლიენტის ყოველი განახლებისას, რადგან პროფილის ნაგულისხმევი შეიძლება შეიცვალოს იმ ვერსიის ქვეშ, რომელსაც არ შეხებია თქვენ.
როცა ნამდვილად ამოწმებთ, გამოიყენეთ დამტკიცებული გეგმა საკუთარ ბოლო მოწყობილობასა და უვნებელ დანიშნულებაზე. სხვა მომხმარებლების წინააღმდეგ თავდასხმის გამეორება საერთო ქსელში ტესტი არ არის, და დაკვირვების გასაადვილებლად თანატოლის დადასტურების ან აპლიკაციის დაშიფვრის გამორთვა აშორებს იმ დაცვას, რომლის გაზომვასაც ცდილობდით.
დასასრულს, სურათში შეინახეთ აპლიკაციის დონის დაცვა. მარშრუტიზაციის გამონაკლისმა შეიძლება გამოაშკარავოს ტრაფიკი, რომელსაც გვირაბი გადაიტანდა, და აპლიკაციის TLS კვლავ იცავს ამ ტრაფიკს ბოლოდან ბოლომდე. ორი ფენა დამოუკიდებლად ფუჭდება, ამიტომ დაკავშირებული მართვის არხი არ არის მტკიცება, რომ ყოველი ნაკადი განზრახული გზით წავიდა.