Вашиот VPN портал е компромитиран: што е всушност изложено
Хакнат VPN портал гледа внатре во сопствениот тунел, но тоа не е контрола врз секоја сесија. Одделете го сообраќајот, дофатот и зачуваните тајни пред враќање.
VPN порталот стои на крајот од тунелот што го штити, што значи дека ја завршува таа енкрипција наместо да ја пропушта. Ако напаѓачот го контролира домаќинот, тунелот однадвор сѐ уште изгледа здрав, додека машината во средината веќе не е доверлива. Корисното прашање не е дали сѐ се дешифрира. Прашањето е што можел да види тој домаќин, до каде можел да стигне и кои тајни навистина биле зачувани на него. Овие три одговори многу се разликуваат, и реакцијата се разликува заедно со нив.
Порталот го завршува тунелот, затоа гледа внатре
Енкрипцијата во VPN оди скок по скок, а порталот е тој скок. Ја отстранува надворешната обвивка, применува политика и го препраќа внатрешниот пакет, така што секој пренесен пакет во некој момент постои во читлива форма во меморијата на тој домаќин. Тоа е дизајн, а не дефект. Затоа компромитирањето на порталот е различен настан од компромитирањето на криптографијата на тунелот.
Првото што напаѓачот го добива е позиција: способноста да го набљудува пренесениот сообраќај, да го менува препраќањето или да одговара наместо backend. Што добива потоа зависи од домаќинот, и тука луѓето преценуваат. Самиот пристап до порталот не ги предава TLS сесиските клучеви на прелистувачот, бидејќи тие никогаш не биле на порталот.
Три изложувања што не се со иста големина
Поделете го прашањето на пренесен сообраќај, достапни системи и зачувани тајни, потоа одговорете на секое одделно.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Средниот ред е тој што се прескокнува. Порталот обично има рута во приватни мрежи и изворна адреса на која backend системите веќе ѝ веруваат, така што интересното прашање е што тие backend системи дозволуваат од таа адреса. Тесната политика за пристап на клиенти е добра контрола, но напаѓачот на домаќинот не е ограничен на интерфејсот што би го користел нормален клиент.
Долниот ред одлучува колку ќе трае инцидентот. Серверскиот клуч и клучот на CA имаат сосема различни радиуси на влијание, како и локалната администраторска сметка и токенот за набљудување само за читање.
HTTPS внатре во тунелот останува HTTPS
TLS на апликацијата завршува во апликацијата, а не на VPN порталот, така што компромитиран портал за тие текови набљудува само шифрен текст. Тоа е вистинска граница на она што го добива напаѓачот, и вреди тоа јасно да се каже, бидејќи спротивната тврдња шири паника и лоши одлуки. Два услови го кршат тоа. Ако на патот има компонента за инспекција со доверлив сертификат, порталот може по дизајн да види чист текст. Ако самата крајна точка на апликацијата е компромитирана, тунелот е нерелевантен.
Затоа одговорот на прашањето што виделе е условен, и треба да се запише како услови, а не да се објави како пресуда.
Што мора да се промени пред повторно да му верувате
Повторното поставување на домаќинот е неопходно и ретко доволно. Напаѓач што сѐ уште држи администраторска сметка, акредитив за распоредување или клуч за потпис може да го врати домаќинот како што сака. Враќањето мора да започне од административен пат што не зависи од компромитираната машина.
Пред да одлучите што да ротирате, направете попис на тоа што било на него. Клучеви, сервисни сметки, API токени, локални корисници, закажани задачи, односи на доверба и распоредувачката линија сите се кандидати, и секој има сопственик што треба да го потврди.
ss -lntup
getent passwd
crontab -l
ip route show table allТој список е најбрзиот начин да видите што нудел домаќинот и до каде можел да стигне. Прво зачувајте ги доказите, според процесот на сопственикот на реакцијата, бидејќи повторното поставување го уништува токму тоа што му е потребно на истрагата. NIST SP 800-61 Ревизија 3 ги третира подготовката, откривањето, реакцијата и враќањето како делови од еден ризичен процес, а не како упатство за рестартирање.
Граници што го прават следниот поевтин
Четири граници вреди да се изградат пред да ви затребаат. Држете независен пат за враќање што не се автентицира преку порталот. Држете го овластувањето за потпис одделно од домаќинот што служи сообраќај. Ограничете до каде порталот може да стигне, за да не биде компромитиран портал автоматски компромитирана управувачка мрежа. И запишете кому му припаѓа секој акредитив, за да биде ротацијата телефонски повик наместо археолошки проект.
Ниту една од овие не спречува компромитирање. Тие го ограничуваат и ја прават разликата помеѓу лоша недела и лош квартал.