TunnelCrack géint TunnelVision: wat jiddwereen tatsächlech briechen

Zwéi Fuerschungsnimm ginn auswiesselbar fir all VPN-Trafic benotzt, deen den Tunnel verléisst, awer d'Méchanismen hannendrun sinn net déiselwecht. TunnelCrack beschreift zwou Familljen vu Routing-Ausnamen; TunnelVision beschreift e Wee, deen DHCP um Endpunkt liwwert. Keng vun deenen zwee brécht d'Verschlësselung, a keng seet Iech, wat en bestëmmte Client-Build haut mécht. Fënnef Kontrollen trennen d'Méchanismen vun der Iwwerschrëft.

Éischte Schrëtt: nennt de Mécanismus, deen Dir iwwerpréift

D'TunnelCrack-Offenlegung vum August 2023 beschreift zwou Familljen vun Ugrëffer. Am Fall vum lokalen Netz hëlt den Trafic, deen de Client als zum lokalen Netz gehéierend ugesäit, eng Ausnam fir lokalen Zougang a verléisst den Tunnel. Am Fall vun der Serveradress läit de Wee, deen de Client brauch fir de VPN-Server selwer z'erreechen, ausserhalb vum Tunnel, an en Géigner, deen déi Adress kontrolléiert, kann d'Ausnam ausnotzen.

TunnelVision ass en eegene Bericht iwwer klassenlos statesch Weeër, déi vun DHCP geliwwert ginn. En béiswëlleg DHCP-Server kann dem Endpunkt Weeër ginn, déi änneren, wéi eng Streck den Trafic hëlt, och d'Streck zum VPN-Server. De Bericht erkennt fréier Aarbecht iwwer verwandt Routing-Effekter un, wat drun erënnert, datt de Grondmechanismus méi al ass wéi den Numm.

Halt d'Nimm mat hire Mécanisme verbonnen. Eng Korrektur fir deen een unzebréngen, well deen aneren an den Nouvellen ass, ass de Wee, wéi eng Iwwerpréiwung Beweegung ouni Ofdeckung produzéiert.

Zweeten Schrëtt: kuckt d'Ausnam fir lokalen Zougang

Déi meescht Clienten huelen den Trafic vum lokalen Netz aus, sou datt Drécker, Schierm-Transfer a Dateiaustausch funktionéiere wärend den Tunnel ugeschalt ass. Déi Ausnam ass eng Politiksentscheedung mat engem Sécherheetspräis: en Géigner am selwechten Netz kann sech als lokalen Host duerstellen, an den Trafic, deen him erreecht, ass ni an den Tunnel gaangen.

Frot, ob de Profil d'Ausnam iwwerhaapt brauch. Eng distanzt Aarbechtskraaft, déi ni lokal Entdeckung benotzt, kann se dacks ausschalten, an déi reschtlech lokal Servicer si iwwer en dokumentéierte Wee z'erreechen. Wou d'Ausnam noutwenneg ass, soen déi Destinatiounen, déi se deckt, amplaz se als lokalen Trafic ze beschreiwen.

D'Kontroll ass eng Konfiguratiounsfro, keng Paketerfassung. Liest d'Profilastellung an d'Client-Dokumentatioun fir de Build, deen Dir ofsetzt, well den Defaut tëscht Produkter an tëscht Versioune vum selwechte Produit ënnerschiddlech ass. Schreift d'Äntwert nieft de Profil, sou datt déi nächst Iwwerpréiwung se net aus dem Verhalen hierleeden muss. Eng Ausnam, déi keen dokumentéiert huet, ass eng Ausnam, déi keen iwwerpréift.

Drëtten Schrëtt: kuckt wéi d'Serveradress geléiert gëtt

De Client muss de VPN-Server erreechen, ier en Tunnel existéiert, also gëtt déi Destinatioun vu Design aus ausserhalb vum Tunnel geroutet. Wann d'Adress vun engem Numm geléiert gëtt, ass de Opléisungsschratt Deel vum Vertrauenswee, an en Géigner, deen déi Ufro beäntwere kann, kann de Client op en Host leeden, deen hie kontrolléiert.

D'Adress festzehalen, en iwwerpréift Zertifikat mam richtegen Numm ze benotzen an ze refuséieren op en oniwwerpréifte Server zréckzefalen, reduzéieren all d'Expositioun. Keng vun hinnen hëlt d'Noutwennegkeet ewech, de Server ausserhalb vum Tunnel z'erreechen; se änneren, wien fir déi Adress äntwere kann.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

D'Wee-Sich weist d'Interface, déi de Client fir d'Serveradress benotze géif, an dat ass d'Ausnam a konkreter Form. Wann déi Sich d'Tunnel-Interface zréckgëtt, kann de Client den Tunnel guer net opbauen, also gëtt en äussere Wee erwaart an d'Fro ass just, wéi seng Destinatioun gewielt gëtt.

Véierten Schrëtt: kuckt d'Weeër déi DHCP liwwert

Klassenlos statesch Weeër erlaben engem DHCP-Server, Entréen aus der Routing-Tabell ze verdeelen, an den Endpunkt akzeptéiert se normalerweis ouni ze froen. An engem Netz, wou en Géigner méi séier wéi de legitime Server op DHCP äntwere kann, kënnen déi Entréen Trafic ëmleeden, vun deem de Benotzer mengt, en wier am Tunnel.

Vergläicht d'Weeër um Endpunkt mat de Weeër, déi Dir erwaart. En Defaut-Wee oder e breedt Prefix, deen op de lokale Gateway weist wärend den Tunnel ugeschalt ass, ass d'Signature, déi eng Enquête wäert ass, an se ass ouni all Ugriffs-Trafic sichtbar.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Déi lescht Astellung ass d'Kontroll op der Endpunkt-Säit, déi vill Clienten a Plattformen an enger Form ubidden: Weeër ignoréieren, déi vum Netz geliwwert ginn. D'automatesch Wee-Akzeptanz auszeschalten ass en Trade-off, well et och legitime Split-Routing vun engem Firmen-DHCP-Server ausschalt, also entscheet et pro Netzklass an net global.

Fënneften Schrëtt: trennt d'Meldung vum aktuelle Build

En publizéierten Ugrëff beschreift Verhalen, dat op bestëmmte Client-Versiounen zu engem bestëmmten Zäitpunkt observéiert gouf. Hie weist net, datt de Laptop virun Iech betraff ass, an hie weist net, datt en gefléckt ass. Béid Aussoen brauchen déi tatsächlech Build-Nummer an déi aktuell Meldung vum Hiersteller.

Notéiert d'Client-Versioun, d'Plattform, d'Profilastellungen, déi d'Ausname uewen regelen, an den Datum, op deem Dir nogekuckt hutt. Dee Rekord altert éierlech, wärend eng Notiz, datt de VPN fir TunnelCrack gefléckt gouf, dat net éierlech mécht. Liest en nach eng Kéier bei all Client-Update, well en Defaut vum Profil sech ënner enger Versioun ka änneren, déi Dir net ugegraff hutt.

Wann Dir wierklech validéiert, benotzt en approuvéierte Plang géint Ären eegenen Endpunkt an eng harmlos Destinatioun. Den Ugrëff géint aner Benotzer op engem gedeelten Netz ze reproduzéieren ass keen Test, an d'Peer-Verifikatioun oder d'Applikatiounsverschlësselung auszeschalten, fir eng Observatioun méi einfach ze maachen, hëlt de Schutz ewech, deen Dir probéiert hutt ze moossen.

Schlussendlech, haalt de Schutz op Applikatiounsniveau am Bild. Eng Routing-Ausnam kann Trafic exponéieren, deen den Tunnel gedroen hätt, an d'TLS vun der Applikatioun schützt deen Trafic ëmmer nach vun Enn zu Enn. Déi zwou Schichten versoen onofhängeg, dofir ass en verbonnenen Kontrollkanal keng Beweis, datt all Floss dee virgesinnene Wee geholl huet.