Кој VPN процес го засега тој наод за ранливост?

Резултатот од скенер наведува адреса, порта и нешто за што се преговарало таму. Не го наведува процесот зад тој сокет, а на VPN домаќин неколку процеси можат да ја делат машината, додека само еден од нив е тунелот. Читањето верзиска низа од странична алатка или наоѓањето библиотечна датотека на дискот додава докази за домаќинот, не за слушателот. Наодот станува применлив само кога е прикачен на една активна компонента и потоа усогласен со опфатот што известувањето навистина го наведува.

Редоследот е важен: прво компонентата, второ известувањето, трето исправката.

Извештајот наведува порта, а не програма

Започнете од крајната точка што навистина била оценета. Проверката против административната порта HTTPS го измери веб-сервисот, неговиот TLS стек и секој посредник пред него; таа не научи ништо за слушателот OpenVPN или WireGuard на друга порта. Обратните посредници и агентите за управување го влошуваат ова, бидејќи сертификатот и банерот можат да припаѓаат на предниот дел, додека ранливата библиотека стои зад него во позадински процес.

Запишете ја целта, транспортот, портата и името на сервисот заедно со резултатот, за да патува опфатот со наодот.

Што е всушност активната изградба

На домаќин за општа намена, инсталираниот пакет и вчитаната библиотека се одделни прашања. Базата на пакети може да наведе исправена верзија, додека долготрајниот демон уште го држи стариот споделен објект во меморијата, а вградената слика на уред може да носи свои библиотеки за кои не известува ниту еден менаџер на пакети. Прашајте го менаџерот на сервиси што работи, потоа испитајте го процесот и неговите врски.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Времето на започнување во списокот на процеси е детаљот што луѓето го прескокнуваат. Демон започнат пред последното ажурирање на пакетите уште ја извршува изградбата што ја вчитал при подигнувањето, и тоа е точно случајот кога пописот вели исправено, а сокетот вели друго.

Усогласување на изградбата со опфатот на известување

Известувањата опишуваат производи, верзии и понекогаш потребни услови, и тие три полиња не секогаш се совпаѓаат со верзијата на пакетот. Известувањето на OpenVPN за Heartbleed од април 2014 е корисен историски пример, бидејќи ги одделува засегнатите изданија на Access Server од веб-сервисите и VPN демоните, кои имаа различно изложување. Поуката е да се прочита која компонента ја покрива текстот, наместо да се совпаѓа зборот OpenSSL по шаблон.

Тоа известување е и застарено. Неговите исправени броеви на изданија сега не се совет за инсталација, а недостаток исправен во 2014 не кажува ништо за подоцнежните проблеми во гранката што ја водите денес.

Решавање на несогласувањето, потоа затворање на изложеноста

Кога пописот и оценката не се совпаѓаат, проверете дали двете ја опишуваат истата крајна точка и истата околина за извршување: друга адреса, преден посредник, втор сервис, стар процес уште врзан за портата, или вградена библиотека што менаџерот на пакети никогаш не ја видел. Решете го тоа на границата пред да препишете извештај.

Применете ја поддржаната исправка, рестартирајте го засегнатиот сервис и потврдете дека новата изградба е таа што работи сега. Исправена датотека на дискот додека стариот процес уште служи сообраќај не е исправка.

Потоа справете се со она што компонентата можела да го чува во периодот на изложеност. Исправањето и замената на акредитиви одговараат на различни прашања, а сертификат зачуван близу засегнатиот домаќин сам по себе не е список на она што протекло. Следете ја постапката на сопственикот на инцидентот за отповикување, отстранување сесии и ажурирања на клиенти, и запишете која компонента била засегната, зошто доказите се применуваа и што ја затворило. Тој запис ќе го чита подоцнежен преглед.