നിങ്ങളുടെ VPN ഗേറ്റ്‌വേ വീഴ്ത്തപ്പെട്ടു: യഥാർത്ഥത്തിൽ എന്താണ് വെളിപ്പെടുന്നത്
ഹാക്ക് ചെയ്ത VPN ഗേറ്റ്‌വേ സ്വന്തം ടണലിനുള്ളിൽ കാണുന്നു, പക്ഷേ അത് എല്ലാ സെഷനും കൈവശപ്പെടുത്തലല്ല. വീണ്ടെടുപ്പിന് മുമ്പ് ട്രാഫിക്, എത്തിച്ചേരൽ, സൂക്ഷിച്ച രഹസ്യങ്ങൾ വേർതിരിക്കുക.
VPN ഗേറ്റ്‌വേ അത് സംരക്ഷിക്കുന്ന ടണലിന്റെ അവസാനത്തിലാണ് ഇരിക്കുന്നത്, അതായത് അത് ആ എൻക്രിപ്ഷൻ അവസാനിപ്പിക്കുന്നു, കൈമാറുന്നില്ല. ഒരു ആക്രമണകാരി ഹോസ്റ്റ് നിയന്ത്രിക്കുന്നുവെങ്കിൽ, ടണൽ പുറത്തുനിന്ന് ആരോഗ്യകരമായി കാണപ്പെടുന്നു, എന്നാൽ നടുവിലെ യന്ത്രം ഇനി വിശ്വസനീയമല്ല. ഉപയോഗപ്രദമായ ചോദ്യം എല്ലാം ഡീക്രിപ്റ്റ് ചെയ്യപ്പെടുന്നുണ്ടോ എന്നതല്ല. ആ ഹോസ്റ്റിന് എന്ത് കാണാൻ കഴിഞ്ഞു, എവിടെ വരെ എത്താൻ കഴിഞ്ഞു, ഏത് രഹസ്യങ്ങളാണ് യഥാർത്ഥത്തിൽ അതിൽ സൂക്ഷിച്ചിരുന്നത് എന്നതാണ്. ഈ മൂന്ന് ഉത്തരങ്ങൾ വളരെ വ്യത്യസ്തമാണ്, പ്രതികരണവും അവയോടൊപ്പം വ്യത്യസ്തമാണ്.
ഗേറ്റ്‌വേ ടണൽ അവസാനിപ്പിക്കുന്നു, അതിനാൽ അകത്തേക്ക് കാണുന്നു
VPN-ൽ എൻക്രിപ്ഷൻ ഹോപ്പ് തോറും നടക്കുന്നു, ഗേറ്റ്‌വേ ആ ഹോപ്പാണ്. അത് പുറം പാളി നീക്കി, നയം പ്രയോഗിച്ച് അകത്തെ പാക്കറ്റ് കൈമാറുന്നു, അതിനാൽ ഓരോ കൊണ്ടുപോകുന്ന പാക്കറ്റും ഏതോ ഒരു നിമിഷത്തിൽ ആ ഹോസ്റ്റിന്റെ മെമ്മറിയിൽ വായിക്കാവുന്ന രൂപത്തിൽ നിലനിൽക്കുന്നു. അത് വൈകല്യമല്ല, രൂപകൽപ്പനയാണ്. അതുകൊണ്ടാണ് ഗേറ്റ്‌വേ വീഴ്ത്തപ്പെടുന്നത് ടണലിന്റെ ക്രിപ്റ്റോഗ്രഫി വീഴ്ത്തപ്പെടുന്നതിൽ നിന്ന് വ്യത്യസ്ത സംഭവമാകുന്നത്.
ആക്രമണകാരി ആദ്യം നേടുന്നത് സ്ഥാനമാണ്: കൊണ്ടുപോകുന്ന ട്രാഫിക് നിരീക്ഷിക്കാനും കൈമാറ്റം മാറ്റാനും ഒരു ബാക്കെൻഡിന് പകരം ഉത്തരം നൽകാനുമുള്ള കഴിവ്. അടുത്തതായി എന്ത് നേടുന്നു എന്നത് ഹോസ്റ്റിനെ ആശ്രയിച്ചിരിക്കുന്നു, ഇവിടെയാണ് ആളുകൾ അമിതമായി കണക്കാക്കുന്നത്. ഗേറ്റ്‌വേയിലേക്കുള്ള പ്രവേശനം മാത്രം ബ്രൗസറിന്റെ TLS സെഷൻ കീകൾ നൽകുന്നില്ല, കാരണം അവ ഒരിക്കലും ഗേറ്റ്‌വേയിൽ ഉണ്ടായിരുന്നില്ല.
ഒരേ വലിപ്പമല്ലാത്ത മൂന്ന് വെളിപ്പെടലുകൾ
ചോദ്യത്തെ കൊണ്ടുപോകുന്ന ട്രാഫിക്, എത്തിച്ചേരാവുന്ന സിസ്റ്റങ്ങൾ, സൂക്ഷിച്ച രഹസ്യങ്ങൾ എന്നിങ്ങനെ വിഭജിച്ച് ഓരോന്നിനും വെവ്വേറെ ഉത്തരം നൽകുക.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
നടുവിലെ വരിയാണ് ഒഴിവാക്കപ്പെടുന്നത്. ഗേറ്റ്‌വേയ്ക്ക് സാധാരണയായി സ്വകാര്യ നെറ്റ്‌വർക്കുകളിലേക്കുള്ള റൂട്ടും ബാക്കെൻഡുകൾ ഇതിനകം വിശ്വസിക്കുന്ന ഉറവിട വിലാസവും ഉണ്ടായിരിക്കും, അതിനാൽ രസകരമായ ചോദ്യം ആ ബാക്കെൻഡുകൾ ആ വിലാസത്തിൽ നിന്ന് എന്ത് അനുവദിക്കുന്നു എന്നതാണ്. ഇടുങ്ങിയ ക്ലൈന്റ് പ്രവേശന നയം നല്ല നിയന്ത്രണമാണ്, പക്ഷേ ഹോസ്റ്റിലുള്ള ആക്രമണകാരി സാധാരണ ക്ലൈന്റ് ഉപയോഗിക്കുന്ന ഇന്റർഫേസിൽ ഒതുങ്ങുന്നില്ല.
താഴത്തെ വരി സംഭവം എത്ര കാലം നീണ്ടുനിൽക്കുമെന്ന് തീരുമാനിക്കുന്നു. സെർവർ കീയ്ക്കും CA കീയ്ക്കും തികച്ചും വ്യത്യസ്തമായ സ്വാധീന പരിധിയുണ്ട്, പ്രാദേശിക അഡ്മിൻ അക്കൗണ്ടിനും വായന-മാത്രം നിരീക്ഷണ ടോക്കണിനും അതുപോലെ.
ടണലിനുള്ളിലെ HTTPS ഇപ്പോഴും HTTPS
ആപ്ലിക്കേഷന്റെ TLS ആപ്ലിക്കേഷനിൽ അവസാനിക്കുന്നു, VPN ഗേറ്റ്‌വേയിൽ അല്ല, അതിനാൽ വീഴ്ത്തപ്പെട്ട ഗേറ്റ്‌വേ ആ ഫ്ലോകൾക്ക് സൈഫർ ടെക്സ്റ്റ് മാത്രം നിരീക്ഷിക്കുന്നു. ആക്രമണകാരിക്ക് ലഭിക്കുന്നതിന് അത് യഥാർത്ഥ പരിധിയാണ്, അത് വ്യക്തമായി പറയേണ്ടതാണ്, കാരണം വിപരീത അവകാശവാദം ഭീതിയും മോശം തീരുമാനങ്ങളും പരത്തുന്നു. രണ്ട് വ്യവസ്ഥകൾ അത് തകർക്കുന്നു. വിശ്വസനീയ സർട്ടിഫിക്കറ്റുള്ള പരിശോധന ഘടകം പാതയിലുണ്ടെങ്കിൽ, ഗേറ്റ്‌വേക്ക് രൂപകൽപ്പന അനുസരിച്ച് സാധാരണ ടെക്സ്റ്റ് കാണാം. ആപ്ലിക്കേഷന്റെ അന്ത്യ ബിന്ദു തന്നെ വീഴ്ത്തപ്പെട്ടിട്ടുണ്ടെങ്കിൽ, ടണൽ അപ്രസക്തമാണ്.
അതിനാൽ അവർ എന്ത് കണ്ടു എന്ന ഉത്തരം സോപാധികമാണ്, അത് വിധിയായി പ്രഖ്യാപിക്കുന്നതിന് പകരം വ്യവസ്ഥകളായി എഴുതണം.
വീണ്ടും വിശ്വസിക്കുന്നതിന് മുമ്പ് എന്ത് മാറണം
ഹോസ്റ്റ് പുനർനിർമ്മിക്കുന്നത് ആവശ്യമാണ്, അപൂർവ്വമായി മാത്രം മതിയാകും. നിർവ്വഹണ അക്കൗണ്ടോ വിന്യാസ ക്രെഡൻഷ്യലോ ഒപ്പിടൽ കീയോ ഇപ്പോഴും കൈവശമുള്ള ആക്രമണകാരിക്ക് ഹോസ്റ്റ് തനിക്കിഷ്ടമുള്ളതുപോലെ തിരികെ കൊണ്ടുവരാം. വീണ്ടെടുപ്പ് വീഴ്ത്തപ്പെട്ട യന്ത്രത്തെ ആശ്രയിക്കാത്ത ഒരു ഭരണ പാതയിൽ നിന്ന് ആരംഭിക്കണം.
എന്ത് തിരിക്കണം എന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് അതിൽ എന്തുണ്ടായിരുന്നു എന്ന് പട്ടികയാക്കുക. കീകൾ, സേവന അക്കൗണ്ടുകൾ, API ടോക്കണുകൾ, പ്രാദേശിക ഉപയോക്താക്കൾ, ഷെഡ്യൂൾ ചെയ്ത ജോലികൾ, വിശ്വാസ ബന്ധങ്ങൾ, വിന്യാസ പൈപ്പ്‌ലൈൻ എല്ലാം സ്ഥാനാർത്ഥികളാണ്, ഓരോന്നിനും അത് സ്ഥിരീകരിക്കേണ്ട ഉടമയുണ്ട്.
ss -lntup
getent passwd
crontab -l
ip route show table allആ പട്ടിക ഹോസ്റ്റ് എന്ത് വാഗ്ദാനം ചെയ്തു, എവിടെ വരെ എത്താമായിരുന്നു എന്ന് കാണാനുള്ള വേഗമേറിയ വഴിയാണ്. ആദ്യം തെളിവുകൾ സൂക്ഷിക്കുക, പ്രതികരണ ഉടമയുടെ പ്രക്രിയ അനുസരിച്ച്, കാരണം പുനർനിർമ്മാണം അന്വേഷണത്തിന് ആവശ്യമായത് കൃത്യമായി നശിപ്പിക്കുന്നു. NIST SP 800-61 ഭേദഗതി 3 തയ്യാറെടുപ്പ്, കണ്ടെത്തൽ, പ്രതികരണം, വീണ്ടെടുപ്പ് എന്നിവയെ ഒരു റിസ്ക് പ്രക്രിയയുടെ ഭാഗങ്ങളായി കണക്കാക്കുന്നു, പുനരാരംഭ നിർദ്ദേശമായല്ല.
അടുത്തത് വിലകുറഞ്ഞതാക്കുന്ന അതിരുകൾ
ആവശ്യം വരുന്നതിന് മുമ്പ് നാല് അതിരുകൾ നിർമ്മിക്കുന്നത് മൂല്യവത്താണ്. ഗേറ്റ്‌വേ വഴി പ്രമാണീകരിക്കാത്ത സ്വതന്ത്ര വീണ്ടെടുപ്പ് പാത സൂക്ഷിക്കുക. ഒപ്പിടൽ അധികാരം ട്രാഫിക് നൽകുന്ന ഹോസ്റ്റിൽ നിന്ന് വേർതിരിച്ച് സൂക്ഷിക്കുക. ഗേറ്റ്‌വേക്ക് എവിടെ വരെ എത്താമെന്ന് പരിമിതപ്പെടുത്തുക, അതുവഴി വീഴ്ത്തപ്പെട്ട ഗേറ്റ്‌വേ സ്വയമേവ വീഴ്ത്തപ്പെട്ട ഭരണ നെറ്റ്‌വർക്ക് ആകാതിരിക്കട്ടെ. ഓരോ ക്രെഡൻഷ്യലും ആർക്കുള്ളതെന്ന് രേഖപ്പെടുത്തുക, അതുവഴി തിരിക്കൽ പുരാവസ്തു പദ്ധതിയല്ല, ഒരു ഫോൺ കോളായിരിക്കട്ടെ.
ഇവയൊന്നും വീഴ്ത്തപ്പെടുന്നത് തടയുന്നില്ല. അവ അത് പരിമിതപ്പെടുത്തുന്നു, മോശം ഒരു ആഴ്ചയും മോശം ഒരു പാദവും തമ്മിലുള്ള വ്യത്യാസം ഉണ്ടാക്കുന്നു.