Ären VPN-Gateway ass kompromittéiert: wat tatsächlech exponéiert ass
En gehackte VPN-Gateway gesäit an säin eegenen Tunnel, awer dat heescht net all Sëtzung ze besëtzen. Trennt Verkéier, Erreechbarkeet a gespäichert Geheimnisser virun der Erhuelung.
E VPN-Gateway steet um Enn vum Tunnel, deen en schützt, wat heescht, datt en dës Verschlësselung ofschléisst, amplaz se duerchzeloossen. Wann en Ugräifer den Host kontrolléiert, gesäit den Tunnel vun dobaussen nach gesond aus, während d'Maschinn an der Mëtt net méi vertrauenswierdeg ass. Déi nëtzlech Fro ass net, ob alles entschlësselt gëtt. Si ass, wat deen Host konnt gesinn, wou e konnt erreechen a wéi eng Geheimnisser tatsächlech drop gespäichert waren. Dës dräi Äntwerten ënnerscheede sech staark, an d'Reaktioun ënnerscheet sech mat hinnen.
De Gateway schléisst den Tunnel of, dofir gesäit en drop eran
Verschlësselung an engem VPN geet Sproong fir Sproong, an de Gateway ass de Sproong. En zitt déi baussenzeg Schicht of, applizéiert d'Politik a leet de bannenzege Paket weider, sou datt all transportéierte Paket zu engem Moment an liesbarer Form am Gedächtnis vun deem Host existéiert. Dat ass den Design an net e Feeler. Dofir ass d'Kompromittéierung vum Gateway en aneren Evenement wéi d'Kompromittéierung vun der Kryptographie vum Tunnel.
Dat éischt, wat den Ugräifer gewënnt, ass Positioun: d'Fäegkeet, transportéierte Verkéier ze observéieren, d'Weiderleitung ze änneren oder amplaz vun engem Backend ze äntweren. Wat en duerno gewënnt, hänkt vum Host of, an hei iwwerschätzen d'Leit. Den Zougang zum Gateway eleng iwwergëtt net dem Browser seng TLS-Sëtzungsschlësselen, well déi waren ni um Gateway.
Dräi Expositiounen, déi net gläich grouss sinn
Deelt d'Fro an transportéierte Verkéier, erreechbar Systemer a gespäichert Geheimnisser, a beäntwert dann jidderee separat.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Déi mëttelst Rei ass déi, déi iwwersprong gëtt. En Gateway huet normalerweis eng Route an privat Netzwierker an eng Quelladress, déi d'Backenden schonn vertrauen, dofir ass déi interessant Fro, wat déi Backenden aus där Adress erlaben. Eng schmuel Client-Zougangspolitik ass eng gutt Kontroll, awer en Ugräifer um Host ass net op d'Interface limitéiert, déi en normale Client géif benotzen.
Déi ënnescht Rei entscheet, wéi laang den Evenement dauert. E Server-Schlëssel an e CA-Schlëssel hunn ganz ënnerschiddlech Auswierkungsradien, an esou och en lokale Administrateurskont an en Token fir Iwwerwaachung nëmme fir ze liesen.
HTTPS am Tunnel bleift HTTPS
Den TLS vun der Applikatioun schléisst an der Applikatioun of, net um VPN-Gateway, dofir observéiert e kompromittéierte Gateway Chiffertext fir déi Flëss. Dat ass eng reell Limite fir dat, wat den Ugräifer kritt, an et ass derwäert, et kloer ze soen, well déi géigendeel Behauptung Panik a schlecht Entscheedunge verbreet. Zwou Konditiounen briechen dat. Wann en Inspektiounskomponent mat engem vertrauenswierdege Zertifika um Wee ass, kann de Gateway vum Design hier kloeren Text gesinn. Wann den Endpunkt vun der Applikatioun selwer kompromittéiert ass, ass den Tunnel irrelevant.
Dofir ass d'Äntwert op dat, wat se gesinn hunn, bedingt, an et sollt als Konditiounen opgeschriwwe ginn amplaz als Verdikt annoncéiert ze ginn.
Wat sech muss änneren, ier Dir him nees vertraut
Den Host nei opzebauen ass noutwendeg a selten duergaang. En Ugräifer, deen nach e Verwaltungskont, en Deployements-Authentifikatioun oder e Signaturschlëssel huet, kann den Host nees setzen, wéi et him passt. D'Erhuelung muss vun engem Administratiounswee ufänken, deen net vun der kompromittéierter Maschinn ofhänkt.
Maacht en Inventaire, wat drop war, ier Dir entscheet, wat rotéiert gëtt. Schlësselen, Déngschtkonten, API-Token, lokal Benotzer, geplangte Aarbechten, Vertrauensbezéiungen an d'Deployementspipeline si alleguer Kandidaten, an all huet en Eegentümer, dee et sollt bestätegen.
ss -lntup
getent passwd
crontab -l
ip route show table allDéi Lëscht ass de séierste Wee, fir ze gesinn, wat den Host ugebueden huet a wou en konnt erreechen. Séchert fir d'éischt d'Beweiser, nom Prozess vum Eegentümer vun der Reaktioun, well en Neiopbau zerstéiert genee dat, wat eng Enquête brauch. NIST SP 800-61 Revisioun 3 behandelt Virbereedung, Detektioun, Reaktioun an Erhuelung als Deeler vun engem Risikoprozess an net als Neistartsinstruktioun.
Grenzen, déi déi nächst méi bëlleg maachen
Véier Grenzen ass et derwäert ze bauen, ier Dir se braucht. Hält en onofhängege Erhuelungswee, deen net iwwer de Gateway authentifizéiert. Hält d'Signaturautoritéit getrennt vum Host, deen de Verkéier servéiert. Limitéiert, wou de Gateway kann erreechen, sou datt e kompromittéierte Gateway net automatesch e kompromittéiert Verwaltungsnetz ass. A schreift op, wiem all Authentifikatioun gehéiert, sou datt Rotatioun en Telefonsopruff ass amplaz en archäologesche Projet.
Keen dovun verhënnert d'Kompromittéierung. Si begrenzen se, a si maachen den Ënnerscheed tëscht enger schlechter Woch an engem schlechte Quartal.