Vai jūs skar CVE-2019-14899? Kodola kontrolsaraksts

Skeneris atzīmē CVE-2019-14899 mašīnā, kas VPN lieto jau gadiem, un pirmā doma ir paziņot, ka VPN ir salauzts. Tas ir nepareizs ietvars. Publicētā problēma attiecas uz uzbrucēju upura vietējā tīklā, kurš izdara secinājumus par noteiktiem TCP savienojumiem, nevis uz vietni, kas atšifrē jūsu tuneli.

Izejiet cauri četrām pārbaudēm zemāk pēc kārtas. Katra vai nu sašaurina problēmu, vai beidz izmeklēšanu.

Pārbaude 1: vai paziņojums aptver jūsu kodolu

Meklējiet savas distribūcijas ierakstu, nevis emuāra kopsavilkumu par izlaišanas datumu. Ubuntu drošības lapa šim CVE uzskaita vispārīgo linux pakotni 18.04 LTS kā ievainojamu ar atliktu labojumu un citas kodola pakotnes izseko atsevišķās rindās. Saskaņojiet savu darbojošos versiju un kodola pakotni ar pareizo rindu. Pazīstams versijas numurs nav atbilstība.

Skenera rezultāts nozīmē, ka identifikators attiecas uz kaut ko jūsu inventārā. Tas nenozīmē, ka blakus esoša ierīce ir izmantojusi mašīnu.

Pārbaude 2: kas modelī ir uzbrucējs

Draudu modelis pieņem blakus esošu uzbrucēju, kurš var mijiedarboties ar upura piekļuves tīklu. Tā ir konkrēta pozīcija, nevis patvaļīgs attālināts pakalpojums, kuram nepatīk jūsu izejas mezgls. Ja lietotāji pieslēdzas no kafejnīcas, pieņēmums ir reāls; ja viņi ir aiz pārvaldīta uzņēmuma vietējā tīkla, tā ir cita saruna.

Atstājiet atvērtu jautājumu par uzticēšanos vietējam tīklam arī tad, kad tunelis ir šifrēts. Šifrēšana atbild uz citu jautājumu nekā blakusatrasšanās.

Pārbaude 3: uz kuru slāni jūs paļaujaties

Pareizi validēts HTTPS nodrošina savu aizsardzību lietojumprogrammas ierakstiem, un TLS 1.3 autentificē šos datus no gala līdz galam. Taču tas nesola, ka uzbrucējs nevar pārtraukt pamata TCP savienojumu. Tāpēc lietojumprogramma var būt droša lasīšanai un tomēr pārtraucama, un pārtraukšana nav tāds pats rezultāts kā atklāšana. Atdaliet abus pirms riska novērtēšanas.

Šī atšķirība ir svarīga ziņojumam. Tā neskaidro apgalvojumu, ka VPN nav drošs, pārvērš ierobežotā paziņojumā par to, ko blakus esošs uzbrucējs varēja novērot vai pārtraukt.

Pārbaude 4: kādu mīkstināšanas pasākumu jūs faktiski ieviesāt

Publicējums apspriež maršrutēšanas un filtrēšanas mīkstināšanas pasākumus un ir skaidrs par to ierobežojumiem, tostarp apgrieztā ceļa filtrēšanu un asimetriskiem maršrutiem. Nelīmējiet vienu sysctl vērtību uz katra VPN resursdatora un nesakiet, ka tas ir atrisināts. Apgrieztā ceļa filtrēšana mijiedarbojas ar maršrutēšanu, tāpēc vērtība, kas palīdz vienai topoloģijai, var salauzt citu.

Pārbaude ir komanda, nevis izvēles rūtiņa. sysctl net.ipv4.conf.all.rp_filter parāda globālo vērtību, un sysctl net.ipv4.conf.tun0.rp_filter parāda saskarnes vērtību, kas faktiski tiek piemērota. Izlasiet abas pirms un pēc jebkuras izmaiņas.

Izmantojiet distribūcijas norādes un savu maršrutēšanas dizainu, pēc tam apstipriniet iestatījumu saskarnē, kas pārvadā tuneli, nevis failā, ko neviens nav ielādējis.

Ko pierakstīt

Pierakstiet blakus esošā uzbrucēja pieņēmumu, darbojošos kodola pakotni, saskaņoto paziņojuma rindu, ieviesto mīkstināšanas pasākumu un tā piemērošanas vietu, kā arī esošās lietojumprogrammas aizsardzības. Pievienojiet datumu, kad pārbaudījāt paziņojumu, jo šīs lapas mainās. Šī kombinācija ir aizstāvams novērtējums.

OS izlaišanas datums un darbojošs VPN savienojums nav novērtējums. Tie ir divi fakti, kurus nejauši ir viegli savākt.