Ass en feelgeschloenen VPN-Handshake wierklech en Downgrade-Angriff?

En Handshake, deen an engem Feeler endegt, fillt sech wéi en Angriff un, bis ee sech d'Noriicht ukuckt, a meeschtens ass et Arithmetik: keng gemeinsam Offer, en ofgelafene Certificat oder e Pak, deen ni ukomm ass. En Downgrade-Angriff ass eppes Bestëmmtes: en Géigner, deen déi zwou Säiten a méi schwachen Verhalen dréckt, wéi se gewielt hätten, an hie léisst aner Beweiser zréck. All Feeler als Béisaartegkeet ze behandelen schéckt Iech eng Affer sichen, déi et vläicht net gëtt, wärend ee reellen Downgrade als Konfiguratiounsfeeler ze behandelen dat méi schwaacht Resultat stoe léisst. Déi zwou Feeler kaschten ënnerschiddlech, an nëmmen eng dovun ass bëlleg ze verbesseren.

Wat en Downgrade-Angriff tatsächlech ännert

D'Zil ass net de Chiffer ze briechen an net e Schlëssel ze roden. Et ass d'Verhandlung ze beaflossen, sou datt béid Säiten op enger eelerer Versioun oder engem méi schwachen Algorithmus ophalen, deen den Angriifer ka bewältegen, oder eng Säit gleewen ze maachen, datt déi aner just dat ënnerstëtzt.

Wat sech ännert, ass d'Ofmachung, net d'Authentifikatioun. Wann den Angriifer d'Offer ännere kann, ouni entdeckt ze ginn, kënnen d'Peeren nach en Handshake fäerdeg maachen an sech nach géigesäiteg authentifizéieren, mat Parameteren, déi den Angriifer léiwer huet. Dofir ass déi interessant Fro, ob d'Verhandlung selwer duerch Integritéitsschutz ofgedeckt ass.

Firwat d'Verhandlung selwer authentifizéiert muss ginn

TLS 1.3 mécht dee Schutz explizit. E Client, deen déi méi nei Versioun ugebueden huet, ka en Server erkennen, dee stëll zréckgefall ass, well de Zoufallswäert vum Server e feste Muster dréit, wa en 1.2 oder manner verhandelt, an de Client muss ofbriechen, wéi en et gesäit. De ganze Transkript ass och duerch d'Schlussmessagen ofgedeckt, sou datt eng Ännerung iwwerall an der Verhandlung méi spéit feelt, amplaz stëll duerchzefueren.

Méi al Protokollversiounen hate méi schwaach Geschichten, an dat ass genau de Grond, firwat d'Réckfall-Regele wichteg sinn. En TLS 1.0-Endpunkt an der selwechter Konfiguratioun ass keen Downgrade-Angriff; et ass en erlaabte Resultat, deen Dir gewielt hutt z'erlaben. Den Ënnerscheed ass, ob dat méi schwaacht Resultat aus enger geschützter Entscheedung koum oder aus engem ongeschützte Wee, deen en Zwëschemann beaflosse konnt. Wann Dir et sou formuléiert, léise sech déi meescht Virfäll a Froen iwwer d'Konfiguratioun op.

IKEv2 verhält sech anescht, awer berout op der selwechter Iddi. D'Offer gëtt an engem Austausch gedroen, deen duerno béid Peeren authentifizéiert, sou datt eng Mëttelbox, déi d'Algorithmen iwwerschreift, d'Authentifikatioun brécht amplaz se ze steieren. Den OpenVPN-Kontrollkanal schützt seng Verhandlung mat TLS a benotzt dann dee Kanal, fir d'Chiffre vum Datenkanal ofzemaachen, dofir ass d'Loglinn vum Kontrollkanal déi interessant.

Konfiguréiert Kompatibilitéit ass keen Angriff

En Administrateur ka bewosst méi al Wiel erlaben, fir en dokumentéierte Client z'ënnerstëtzen, an déi Entscheedung ass an der Konfiguratioun sichtbar. En Angriifer kann déi Konfiguratioun net erstellen; hie kann nëmmen ee Wee ausnotzen, deen him d'Offer beaflosse léisst.

Déi geféierlech Reparatur ass déi, déi de Beweis vum Ënnerscheed ewechhëlt. All Legacy-Optioun aktivéieren, d'Certificatspréifung ausschalten oder all Chiffer akzeptéieren, fir datt e Feeler verschwënnt, verbreet, wat den Endpunkt akzeptéiere wäert, an hëlt d'Préifungen ewech, déi dat méi schwaacht Resultat gemellt hätten.

Wann Dir eng al Optioun behale musst, nennt de Grond an de Client am Konfiguratiounskommentar, a begrenzt dann d'Optioun op de Profil, deen se brauch. Eng Kompatibilitéitsausnam, déi op ee Lauschterer begrenzt ass, ass auditabel; eng global ugewannt ass just en méi schwaache Standard, un deen sech kee erënnert, datt hien en gewielt huet.

Liest de Feeler, ier Dir eng Ursaach nennt

Bewahrt de geneeë Feelerstring, d'Client- an d'Serverversiounen an d'Zäit virun all Ännerung. Dann klassifizéiert: waren d'Peeren iwwer eng Offer net eens, ass de Pakwee feelgeschloen, oder huet eng Säit e Parameter refuséiert, deen se fréier akzeptéiert huet?

Eng Offervings-Ofwäichung nennt meeschtens déi schëlleg Versiounen oder Algorithmen a feelt all Kéier um selwechte Punkt. E Routing- oder MTU-Problem stockt oder leeft an en Timeout, an et variéiert dacks mam Netzwierk. En ofgelafene Certificat gëtt eng Préifungsfeeler, net eng Verhandlungsfeeler.

Näischt dovun ass e Beweis fir en Angriifer. Bei deem éischte Feeler eng béisaarteg Ursaach unzehuelen ass de Feeler, well et dee deterministesche Bug verstoppt, deen den nächsten Dag erëm feelt.

Bestätegt, wat tatsächlech gewielt gouf

Liest no all Korrektur dat ausgehandelt Resultat, amplaz drop ze vertrauen, datt d'Verbindung opgaang ass. Eng Verbindung, déi geléngt, well d'Préifung ewechgeholl gouf, ass d'Resultat, dat Dir wëllt vermeiden. Déi zwou Kommandoen ënnendrënner weisen déi gewielte Versioun an de Chiffer fir en Endpunkt mat TLS virun, plus d'Kontrollkanallinn aus engem OpenVPN Serverlog.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

Vergläicht d'Resultat mat der Konfiguratioun, déi Dir gemengt hutt, net mat deem, wat elo verbënnt. Wann déi gewielte Versioun méi al ass wéi de erlaabte Minimum, sinn de Profil oder d'Réckfall-Lëscht d'Plaz fir nozekucken, an d'Äntwert ass déi Lëscht ze verbesseren, amplaz en Angriff ze erklären an alles ronderëm nei opzebauen.