Сиздин VPN шлюзуңуз бузулду: чындыгында эмне ачылды
Бузулган VPN шлюзу өз туннелинин ичин көрөт, бирок бул ар бир сессияны ээлөө дегенди билдирбейт. Калыбына келтирүүдөн мурун трафикти, жеткиликтүүлүктү жана сакталган сырларды бөлүңүз.
VPN шлюзу өзү коргогон туннелдин аягында турат, башкача айтканда ал бул шифрлоону өткөрбөй, аны бүтүрөт. Эгер кол салуучу хостту көзөмөлдөсө, туннель сырттан дагы эле ден соолукта көрүнөт, ал эми ортодогу машина эми ишенимдүү эмес. Пайдалуу суроо — баары чечилип жатабы деген эмес. Суроо — ал хост эмнени көрө алды, кайда жете алды жана анын үстүндө кандай сырлар чындыгында сакталган. Бул үч жооп бири-биринен көп айырмаланат, жана аракет да алар менен бирге айырмаланат.
Шлюз туннелди бүтүрөт, ошондуктан ичин көрөт
VPNде шифрлоо секирик-секирик жүрөт, ал эми шлюз ошол секирик. Ал сырткы катмарды алып салат, саясатты колдонот жана ички пакетти жөнөтөт, ошондуктан ар бир ташылып жаткан пакет бир учурда ошол хосттун эсинде окулуучу түрдө болот. Бул кемчилик эмес, долбоор. Ошондуктан шлюздун бузулушу туннелдин криптографиясынын бузулушунан башка окуя.
Кол салуучу биринчи ээ болгон нерсе — позиция: ташылып жаткан трафикти байкоо, жөнөтүүнү өзгөртүү же backendдин ордуна жооп берүү мүмкүнчүлүгү. Андан кийин эмне алары хостко байланыштуу, жана бул жерде адамдар ашыкча баалашат. Шлюзга эле кирүү браузердин TLS сессия ачкычтарын бербейт, анткени алар эч качан шлюзда болгон эмес.
Өлчөмү бирдей эмес үч ачылуу
Суроону ташылып жаткан трафикке, жеткиликтүү системаларга жана сакталган сырларга бөлүңүз, анан ар бирине өз-өзүнчө жооп бериңиз.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Ортодогу сап — көңүлдөн калган сап. Шлюздун адатта жеке тармактарга маршруту жана backendдер ишенип калган баштапкы дареги болот, ошондуктан кызыктуу суроо — ошол backendдер бул даректен эмнеге уруксат берет. Тар кардарлык кирүү саясаты жакшы көзөмөл, бирок хосттогу кол салуучу кадимки кардар колдонгон интерфейс менен чектелбейт.
Төмөнкү сап окуя канча убакытка созуларын чечет. Сервер ачкычы менен CA ачкычынын таасир радиусу таптакыр башка, ошондой эле жергиликтүү администратор эсеби менен окууга гана арналган мониторинг токенинин да.
Туннелдин ичиндеги HTTPS дагы эле HTTPS
Колдонмонун TLSи колдонмодо бүтөт, VPN шлюзунда эмес, ошондуктан бузулган шлюз бул агымдар үчүн шифрленген текстти гана байкайт. Бул кол салуучу ала турган нерсеге чыныгы чек, жана муну ачык айтуу керек, анткени каршы билдирүү дүрбөлөң менен жаман чечимдерди таратат. Эки шарт муну бузат. Эгер жолдо ишенимдүү сертификаты бар текшерүү компоненти болсо, шлюз долбоор боюнча ачык текстти көрө алат. Эгер колдонмонун акыркы чекитинин өзү бузулса, туннель маанисиз.
Ошондуктан алар эмнени көрүштү деген суроого жооп шарттуу, жана аны өкүм катары жарыялоонун ордуна шарт катары жазуу керек.
Кайра ишенүүдөн мурун эмне өзгөрүшү керек
Хостту кайра куруу зарыл жана сейрек жетиштүү. Дагы эле башкаруу эсеби, жайгаштыруу ыйгарым укугу же кол коюу ачкычы бар кол салуучу хостту өзү каалагандай кайтара алат. Калыбына келтирүү бузулган машинага көз каранды эмес административдик жолдон башталышы керек.
Эмнени айландырууну чечээрден мурун анда эмне болгонун тизмектеңиз. Ачкычтар, кызмат эсептери, API токендери, жергиликтүү колдонуучулар, пландалган иштер, ишеним мамилелери жана жайгаштыруу линиясы — баары талапкер, жана ар биринин ырастоосу керек ээси бар.
ss -lntup
getent passwd
crontab -l
ip route show table allБул тизме хост эмнени сунуштаганын жана кайда жете аларын көрүүнүн эң тез жолу. Алгач далилдерди сактаңыз, жооп ээсинин процессине ылайык, анткени кайра куруу иликтөөгө керектүү нерсенин дал өзүн жок кылат. NIST SP 800-61 3-басылышы даярдыкты, аныктоону, жоопту жана калыбына келтирүүнү кайра иштетүү нускамасы катары эмес, бир тобокелдик процессинин бөлүктөрү катары карайт.
Кийинкисин арзандаткан чектер
Төрт чекти керек болоордон мурун курууга татыктуу. Шлюз аркылуу аутентификация жасабаган көз карандысыз калыбына келтирүү жолун кармаңыз. Кол коюу ыйгарым укугун трафикке кызмат кылган хосттон өзүнчө кармаңыз. Шлюз кайда жете аларын чектеңиз, ошондо бузулган шлюз автоматтык түрдө бузулган башкаруу тармагы болбойт. Жана ар бир ыйгарым укук кимге таандык экенин жазып коюңуз, ошондо айландыруу археологиялык долбоор эмес, бир телефон чалуу болот.
Булардын эч бири бузулуунун алдын албайт. Алар аны чектеп, жаман жума менен жаман чейректин ортосундагы айырманы түзөт.