TunnelCrack наспроти TunnelVision: што всушност крши секој од нив

Две истражувачки имиња се користат наизменично за секој VPN сообраќај што излегува од тунелот, но механизмите зад нив не се исти. TunnelCrack опишува две фамилии исклучоци во рутирањето; TunnelVision опишува рута што DHCP ја доставува на крајниот уред. Ниту еден не ја крши шифрата, и ниту еден не ви кажува што прави одредено издание на клиентот денес. Пет проверки ги одвојуваат механизмите од насловот.

Прв чекор: именувајте го механизмот што го прегледувате

Откривањето TunnelCrack од август 2023 година опишува две фамилии напади. Во случајот на локалната мрежа, сообраќајот што клиентот го смета за дел од локалната мрежа добива исклучок за локален пристап и го напушта тунелот. Во случајот на адресата на серверот, рутата што му е потребна на клиентот за да стигне до самиот VPN сервер е надвор од тунелот, и противник што ја контролира таа адреса може да го искористи исклучокот.

TunnelVision е одделен извештај за бескласни статични рути што ги доставува DHCP. Малициозен DHCP сервер може на крајниот уред да му даде рути што го менуваат патот на сообраќајот, вклучително патот кон VPN серверот. Извештајот признава претходна работа за поврзани ефекти на рутирањето, што потсетува дека основниот механизам е постар од името.

Држете ги имињата приврзани за нивните механизми. Примена на исправка за едното затоа што другото е во вестите е начинот на кој прегледот создава движење без покриеност.

Втор чекор: погледнете го исклучокот за локален пристап

Повеќето клиенти го изземаат сообраќајот на локалната мрежа за да работат печатачите, преносот на екран и споделувањето датотеки додека тунелот е вклучен. Тој исклучок е политичка одлука со цена за безбедноста: противник во истата мрежа може да се претстави како локален домаќин, и сообраќајот што го достигнува никогаш не влегол во тунелот.

Прашајте дали на распоредениот профил воопшто му е потребен исклучокот. Оддалечена работна сила што никогаш не користи локално откривање често може да го исклучи, а преостанатите локални услуги можат да се достават преку документирана патека. Каде што исклучокот е потребен, наведете кои одредишта ги покрива наместо да го опишувате како локален сообраќај.

Проверката е прашање на конфигурација, не на фаќање пакети. Прочитајте го поставувањето на профилот и документацијата на клиентот за изданието што го распоредувате, бидејќи стандардната вредност се разликува меѓу производите и меѓу верзиите на истиот производ. Запишете го одговорот до профилот, за да не мора следниот прегледувач да го изведе од однесувањето. Исклучок што никој не го документирал е исклучок што никој не го прегледува.

Трет чекор: погледнете како се учи адресата на серверот

Клиентот мора да го достигне VPN серверот пред да постои каков било тунел, така што тоа одредиште по проект се рутира надвор од тунелот. Ако адресата се учи од име, чекорот на разрешување е дел од патеката на доверба, и противник што може да одговори на тоа барање може да го насочи клиентот кон домаќин што тој го контролира.

Закачувањето на адресата, користењето заверен сертификат со точното име и одбивањето да се врати на неоверен сервер сите ја намалуваат изложеноста. Ниту еден не ја отстранува потребата да се достигне серверот надвор од тунелот; тие менуваат кој може да одговара за таа адреса.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Пребарувањето на рутата го покажува интерфејсот што клиентот би го користел за адресата на серверот, што е исклучокот во конкретна форма. Ако тоа пребарување го врати интерфејсот на тунелот, клиентот воопшто не може да го воспостави тунелот, така што надворешна рута е очекувана и прашањето е само како се избира нејзиното одредиште.

Четврт чекор: погледнете ги рутите што ги доставува DHCP

Бескласните статични рути му овозможуваат на DHCP серверот да дели записи од табелата за рутирање, и крајниот уред обично ги прифаќа без прашање. Во мрежа каде противник може да одговори на DHCP побрзо од легитимниот сервер, тие записи можат да го пренасочат сообраќајот што корисникот верува дека е внатре во тунелот.

Споредете ги рутите на крајниот уред со рутите што ги очекувате. Стандардна рута или широк префикс што покажува кон локалната порта додека тунелот е вклучен е потписот што вреди да се истражи, и е видлив без никаков нападен сообраќај.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Последното поставување е контролата на страната на крајниот уред што многу клиенти и платформи ја изложуваат во некоја форма: игнорирање на рутите што ги доставува мрежата. Исклучувањето на автоматското прифаќање рути е компромис, бидејќи го исклучува и легитимното поделено рутирање од корпоративен DHCP сервер, затоа одлучете го по класа на мрежа, а не глобално.

Петти чекор: одвојте го известувањето од тековното издание

Објавен напад опишува однесување забележано на одредени верзии на клиентот во одредено време. Тој не докажува дека преносникот пред вас е засегнат, и не докажува дека е поправен. Двете тврдења бараат вистински број на издание и тековно известување од добавувачот.

Запишете ја верзијата на клиентот, платформата, поставувањата на профилот што ги управуваат исклучоците погоре и датумот кога сте провериле. Тој запис старее чесно, а забелешката дека VPN-от е закрпен за TunnelCrack не старее чесно. Препрочитајте го при секое ажурирање на клиентот, бидејќи стандардната вредност на профилот може да се промени под верзија што не сте ја допреле.

Кога навистина проверувате, користете одобрен план против сопствениот краен уред и безопасно одредиште. Репродуцирањето на нападот против други корисници на споделена мрежа не е тест, а исклучувањето на верификацијата на партнерот или шифрирањето на апликацијата за да се олесни набљудување ја отстранува заштитата што сте се обидувале да ја измерите.

На крајот, држете ја заштитата на ниво на апликација во сликата. Исклучок во рутирањето може да изложи сообраќај што тунелот би го носел, а TLS на апликацијата сѐ уште го штити тој сообраќај од крај до крај. Двата слоја откажуваат независно, затоа поврзан контролен канал не е доказ дека секој тек тргнал по предвидената патека.