Jūsu VPN vārteja ir kompromitēta: kas patiešām ir pakļauts riskam
Uzlauzta VPN vārteja redz sava tuneļa iekšpusi, taču tas nenozīmē katras sesijas kontroli. Pirms atjaunošanas atdaliet trafiku, sasniedzamību un glabātos noslēpumus.
VPN vārteja atrodas tā tuneļa galā, kuru tā aizsargā, kas nozīmē, ka tā pārtrauc šo šifrēšanu, nevis laiž to tālāk. Ja uzbrucējs kontrolē saimnieku, tunelis no ārpuses joprojām izskatās vesels, kamēr iekārta vidū vairs nav uzticama. Noderīgais jautājums nav par to, vai viss tiek atšifrēts. Jautājums ir par to, ko šis saimnieks varēja redzēt, kur tas varēja nokļūt un kādi noslēpumi tajā patiešām bija glabāti. Šīs trīs atbildes ļoti atšķiras, un arī reakcija atšķiras līdz ar tām.
Vārteja pārtrauc tuneli, tāpēc tā redz tā iekšpusi
Šifrēšana VPN notiek lēcienu pa lēcienam, un vārteja ir šis lēciens. Tā noņem ārējo slāni, piemēro politiku un pārsūta iekšējo paketi, tāpēc katra pārsūtītā pakete kādā brīdī pastāv lasāmā formā šī saimnieka atmiņā. Tas ir dizains, nevis defekts. Tāpēc vārtejas kompromitēšana ir cits notikums nekā tuneļa kriptogrāfijas kompromitēšana.
Pirmo, ko uzbrucējs iegūst, ir pozīcija: spēja novērot pārsūtīto trafiku, mainīt pārsūtīšanu vai atbildēt backend vietā. To, ko viņš iegūst tālāk, nosaka saimnieks, un šeit cilvēki pārvērtē. Tikai piekļuve vārtejai nenodod pārlūka TLS sesijas atslēgas, jo tās nekad nav bijušas uz vārtejas.
Trīs atklāšanās, kas nav vienāda lieluma
Sadaliet jautājumu pārsūtītā trafikā, sasniedzamās sistēmās un glabātajos noslēpumos, pēc tam atbildiet uz katru atsevišķi.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Vidējā rinda ir tā, kas tiek izlaista. Vārtejai parasti ir maršruts uz privātiem tīkliem un avota adrese, kurai backend jau uzticas, tāpēc interesantais jautājums ir, ko šie backend atļauj no šīs adreses. Šaura klientu piekļuves politika ir laba kontrole, taču uzbrucējs uz saimnieka nav ierobežots ar saskarni, ko izmantotu parasts klients.
Apakšējā rinda nosaka, cik ilgi incidents ilgst. Servera atslēgai un CA atslēgai ir pilnīgi atšķirīgi ietekmes rādiusi, un tāpat arī vietējam administratora kontam un tikai lasāmas uzraudzības marķierim.
HTTPS tuneļa iekšpusē joprojām ir HTTPS
Lietotnes TLS beidzas lietotnē, nevis VPN vārtejā, tāpēc kompromitēta vārteja šiem plūdiem novēro šifrētu tekstu. Tā ir reāla robeža tam, ko uzbrucējs iegūst, un to ir vērts pateikt skaidri, jo pretējais apgalvojums izplata paniku un sliktus lēmumus. Divi nosacījumi to laupa. Ja ceļā ir inspekcijas komponente ar uzticamu sertifikātu, vārteja pēc dizaina var redzēt vienkāršu tekstu. Ja pats lietotnes galapunkts ir kompromitēts, tunelim nav nozīmes.
Tāpēc atbilde uz to, ko viņi redzēja, ir nosacīta, un tā jāpieraksta kā nosacījumi, nevis jāpaziņo kā spriedums.
Kas jāmaina, pirms tam atkal uzticēties
Saimnieka pārbūve ir nepieciešama un reti pietiekama. Uzbrucējs, kuram joprojām ir pārvaldības konts, izvietošanas akreditācijas dati vai parakstīšanas atslēga, var atgriezt saimnieku tā, kā vēlas. Atjaunošanai jāsākas no administrēšanas ceļa, kas nav atkarīgs no kompromitētās iekārtas.
Pirms lemjat, ko rotēt, uzskaitiet, kas tajā bija. Atslēgas, servisa konti, API marķieri, vietējie lietotāji, plānotie darbi, uzticības attiecības un izvietošanas plūsma visi ir kandidāti, un katram ir īpašnieks, kuram tas jāapstiprina.
ss -lntup
getent passwd
crontab -l
ip route show table allŠis saraksts ir ātrākais veids, kā redzēt, ko saimnieks piedāvāja un cik tālu varēja nokļūt. Vispirms saglabājiet pierādījumus, saskaņā ar reaģēšanas īpašnieka procesu, jo pārbūve iznīcina tieši to, kas nepieciešams izmeklēšanai. NIST SP 800-61 3. redakcija uzskata sagatavošanu, noteikšanu, reaģēšanu un atjaunošanu par viena riska procesa daļām, nevis kā restartēšanas instrukciju.
Robežas, kas padara nākamo lētāku
Četras robežas ir vērts uzbūvēt, pirms tās ir vajadzīgas. Saglabājiet neatkarīgu atjaunošanas ceļu, kas nav autentificēts caur vārteju. Saglabājiet parakstīšanas pilnvaras atsevišķi no saimnieka, kas apkalpo trafiku. Ierobežojiet, cik tālu vārteja var nokļūt, lai kompromitēta vārteja nebūtu automātiski kompromitēts pārvaldības tīkls. Un pierakstiet, kam pieder katra akreditācijas datu kopa, lai rotācija būtu telefona zvans, nevis arheoloģijas projekts.
Neviena no tām neaptur kompromitēšanu. Tās to ierobežo un rada atšķirību starp sliktu nedēļu un sliktu ceturksni.