თქვენი VPN კარიბჭე კომპრომეტირებულია: რა არის რეალურად გამჟღავნებული
გატეხილი VPN კარიბჭე საკუთარ გვირაბში ხედავს, მაგრამ ეს ყველა სესიის დაუფლებას არ ნიშნავს. აღდგენამდე გამოჰყავით ტრაფიკი, წვდომა და შენახული საიდუმლოებები.
VPN კარიბჭე იმ გვირაბის ბოლოს დგას, რომელსაც იცავს, რაც ნიშნავს, რომ ის ამ დაშიფვრას ამთავრებს და არა გადასცემს. თუ თავდამსხმელი ჰოსტს აკონტროლებს, გვირაბი გარედან კვლავ ჯანმრთელად გამოიყურება, ხოლო შუაში მყოფი მანქანა აღარ არის სანდო. სასარგებლო კითხვა არ არის, დაიშიფრება თუ არა ყველაფერი. კითხვაა, რა შეეძლო ამ ჰოსტს ენახა, სად შეეძლო მიეღწია და რომელი საიდუმლოებები იყო მასზე რეალურად შენახული. ეს სამი პასუხი ძალიან განსხვავდება, და რეაგირებაც მათთან ერთად იცვლება.
კარიბჭე ამთავრებს გვირაბს, ამიტომ შიგნით ხედავს
VPN-ში დაშიფვრა ნახტომ-ნახტომ მიმდინარეობს და კარიბჭე ის ნახტომია. ის ხსნის გარე შრეს, ატარებს პოლიტიკას და გადასცემს შიდა პაკეტს, ამიტომ ყოველი გადატანილი პაკეტი რაღაც მომენტში არსებობს წაკითხვადი ფორმით ამ ჰოსტის მეხსიერებაში. ეს დიზაინია და არა ხარვეზი. ამიტომაც კარიბჭის კომპრომეტირება სხვა მოვლენაა, ვიდრე გვირაბის კრიპტოგრაფიის კომპრომეტირება.
პირველი, რასაც თავდამსხმელი იძენს, არის პოზიცია: გადატანილი ტრაფიკის დაკვირვების, გადაცემის შეცვლის ან backend-ის ნაცვლად პასუხის გაცემის უნარი. რასაც შემდეგ იძენს, ჰოსტზეა დამოკიდებული, და აქ ხალხი გადააჭარბებს შეფასებას. მხოლოდ კარიბჭეზე წვდომა ბრაუზერის TLS სესიის გასაღებებს არ გადასცემს, რადგან ისინი არასდროს ყოფილა კარიბჭეზე.
სამი გამჟღავნება, რომლებიც ერთი ზომის არ არის
დაყავით კითხვა გადატანილ ტრაფიკად, მისაწვდომ სისტემებად და შენახულ საიდუმლოებებად, შემდეგ თითოეულს ცალკე უპასუხეთ.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
შუა რიგი არის ის, რომელიც გამოტოვებულია. კარიბჭეს ჩვეულებრივ აქვს მარშრუტი კერძო ქსელებში და წყაროს მისამართი, რომელსაც backend-ები უკვე ენდობიან, ამიტომ საინტერესო კითხვაა, რას უშვებენ ეს backend-ები ამ მისამართიდან. ვიწრო კლიენტური წვდომის პოლიტიკა კარგი კონტროლია, მაგრამ ჰოსტზე მყოფი თავდამსხმელი არ შემოიფარგლება იმ ინტერფეისით, რომელსაც ჩვეულებრივი კლიენტი გამოიყენებდა.
ქვედა რიგი განსაზღვრავს, რამდენ ხანს გაგრძელდება ინციდენტი. სერვერის გასაღებსა და CA გასაღებს სრულიად განსხვავებული ზემოქმედების რადიუსი აქვთ, ისევე როგორც ლოკალურ ადმინისტრატორის ანგარიშსა და მხოლოდ-კითხვად მონიტორინგის ტოკენს.
HTTPS გვირაბის შიგნით კვლავ HTTPS-ია
აპლიკაციის TLS აპლიკაციაში მთავრდება და არა VPN კარიბჭეზე, ამიტომ კომპრომეტირებული კარიბჭე ამ ნაკადებისთვის მხოლოდ დაშიფრულ ტექსტს აკვირდება. ეს რეალური ზღვარია იმაზე, რასაც თავდამსხმელი იღებს, და ღირს ამის პირდაპირ თქმა, რადგან საპირისპირო მტკიცება პანიკას და ცუდ გადაწყვეტილებებს ავრცელებს. ორი პირობა ამას არღვევს. თუ გზაზე სანდო სერტიფიკატის მქონე შემოწმების კომპონენტია, კარიბჭეს შეუძლია დიზაინის მიხედვით ღია ტექსტი დაინახოს. თუ თავად აპლიკაციის ბოლო წერტილია კომპრომეტირებული, გვირაბს მნიშვნელობა არ აქვს.
ამიტომ პასუხი კითხვაზე, რა დაინახეს, პირობითია, და ის უნდა ჩაიწეროს პირობებად და არა გამოცხადდეს განაჩენად.
რა უნდა შეიცვალოს, სანამ ხელახლა ენდობით
ჰოსტის ხელახლა აწყობა აუცილებელია და იშვიათად საკმარისი. თავდამსხმელს, რომელსაც ჯერ კიდევ აქვს მართვის ანგარიში, განთავსების რწმუნება ან ხელმოწერის გასაღები, შეუძლია ჰოსტი თავის სურვილისამებრ დააბრუნოს. აღდგენა უნდა დაიწყოს ადმინისტრაციული გზიდან, რომელიც არ არის დამოკიდებული კომპრომეტირებულ მანქანაზე.
სანამ გადაწყვეტთ, რა შემოატრიალოთ, ჩამოწერეთ რა იყო მასზე. გასაღებები, სერვისის ანგარიშები, API ტოკენები, ლოკალური მომხმარებლები, დაგეგმილი ამოცანები, ნდობის ურთიერთობები და განთავსების მილსადენი ყველა კანდიდატია, და თითოეულს ჰყავს მფლობელი, რომელმაც ეს უნდა დაადასტუროს.
ss -lntup
getent passwd
crontab -l
ip route show table allეს სია ყველაზე სწრაფი გზაა იმის სანახავად, რას სთავაზობდა ჰოსტი და სად შეეძლო მისვლა. ჯერ შეინახეთ მტკიცებულებები, რეაგირების მფლობელის პროცესის მიხედვით, რადგან ხელახლა აწყობა ანადგურებს ზუსტად იმას, რაც გამოძიებას სჭირდება. NIST SP 800-61 რევიზია 3 მომზადებას, გამოვლენას, რეაგირებას და აღდგენას ერთი რისკის პროცესის ნაწილებად განიხილავს და არა გადატვირთვის ინსტრუქციად.
საზღვრები, რომლებიც შემდეგს აიაფებს
ოთხი საზღვარი ღირს აშენდეს სანამ დაგჭირდებათ. შეინარჩუნეთ დამოუკიდებელი აღდგენის გზა, რომელიც კარიბჭის მეშვეობით არ ამოწმებს ვინაობას. შეინარჩუნეთ ხელმოწერის უფლებამოსილება ტრაფიკის მომსახურე ჰოსტისგან დაცალკევებით. შეზღუდეთ სად შეუძლია კარიბჭეს მისვლა, რათა კომპრომეტირებული კარიბჭე ავტომატურად კომპრომეტირებული მართვის ქსელი არ იყოს. და ჩაწერეთ, ვის ეკუთვნის თითოეული რწმუნება, რათა შემოტრიალება სატელეფონო ზარი იყოს და არა არქეოლოგიური პროექტი.
არც ერთი მათგანი არ უშლის ხელს კომპრომეტირებას. ისინი ზღუდავენ მას და ქმნიან განსხვავებას ცუდ კვირასა და ცუდ კვარტალს შორის.