Таны VPN гарц эвдэрсэн: юу нь үнэхээр ил болсон бэ
Хакердсан VPN гарц өөрийн туннелийн дотрыг хардаг ч энэ нь бүх сессийг эзэмших гэсэн үг биш. Сэргээхээс өмнө урсгал, хүрэх боломж, хадгалагдсан нууцыг тусгаарла.
VPN гарц нь өөрөө хамгаалж буй туннелийн төгсгөлд байрладаг, өөрөөр хэлбэл тэр шифрлэлтийг дамжуулахгүй, харин төгсгөдөг. Хэрэв халдагч хост-ыг хянаж байвал туннель гаднаасаа эрүүл харагдаж байх боловч голд байгаа машин итгэмжлэгдэхээ больсон. Ашигтай асуулт нь бүх зүйл тайлагдаж байна уу гэдэг биш. Асуулт нь тэр хост юу харж чадсан, хаа хүрч чадсан, ямар нууцууд түүн дээр үнэхээр хадгалагдсан байсан бэ гэдэг юм. Эдгээр гурван хариулт маш өөр бөгөөд хариу арга хэмжээ ч тэдний хамт өөр байна.
Гарц туннелийг төгсгөдөг тул дотрыг нь хардаг
VPN дахь шифрлэлт үсрэлт бүрээр явагддаг ба гарц нь тэр үсрэлт юм. Энэ нь гадна давхаргыг авч, бодлого хэрэглэж, дотоод пакетыг дамжуулдаг тул зөөгдөж буй пакет бүр ямар нэг мөчид тэр хост-ын санах ойд уншигдах хэлбэрээр оршдог. Энэ нь алдаа биш, зохион байгуулалт. Тиймээс гарцын эвдрэл нь туннелийн криптографын эвдрэлээс өөр үйл явдал юм.
Халдагчийн эхлээд олж авдаг зүйл бол байр суурь: зөөгдөж буй урсгалыг ажиглах, дамжуулалтыг өөрчлөх, эсвэл backend-ийн оронд хариу өгөх чадвар. Дараа нь юу олж авах нь хост-оос хамаардаг бөгөөд энд хүмүүс хэтрүүлэн үнэлдэг. Зөвхөн гарц руу нэвтрэх нь хөтчийн TLS сессийн түлхүүрүүдийг өгдөггүй, учир нь тэд хэзээ ч гарц дээр байгаагүй.
Ижил хэмжээтэй бус гурван илэрлэл
Асуултыг зөөгдөж буй урсгал, хүрч болох систем, хадгалагдсан нууц гэж хувааж, дараа нь тус бүрд нь тусад нь хариул.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Дунд мөр нь алгасагддаг мөр юм. Гарц нь ихэвчлэн хувийн сүлжээнд гарах маршрут болон backend-үүд аль хэдийн итгэдэг эх хаягтай байдаг тул сонирхолтой асуулт нь тэдгээр backend-үүд тэр хаягаас юу зөвшөөрдөг вэ гэдэг. Нарийн клиент нэвтрэх бодлого нь сайн хяналт боловч хост дээрх халдагч энгийн клиент ашиглах интерфэйсээр хязгаарлагдахгүй.
Доод мөр нь үйл явдал хэр удаан үргэлжлэхийг шийддэг. Серверийн түлхүүр ба CA түлхүүрийн нөлөөллийн радиус огт өөр, мөн локал админ бүртгэл ба зөвхөн унших хяналтын токены хувьд ч мөн адил.
Туннель доторх HTTPS хэвээрээ HTTPS
Аппликейшны TLS нь VPN гарц дээр биш, аппликейшн дотор төгсдөг тул эвдэрсэн гарц тэдгээр урсгалд зөвхөн шифрлэгдсэн текстийг ажигладаг. Энэ нь халдагчийн олж авах зүйлд бодит хязгаар бөгөөд үүнийг тодорхой хэлэх нь зүйтэй, учир нь эсрэг мэдэгдэл сандрал, муу шийдвэрийг тараадаг. Хоёр нөхцөл үүнийг эвддэг. Хэрэв замд итгэмжлэгдсэн гэрчилгээтэй шалгалтын бүрэлдэхүүн байвал гарц зохион байгуулалтын дагуу энгийн текстийг харж болно. Хэрэв аппликейшны төгсгөлийн цэг өөрөө эвдэрсэн бол туннель хамаагүй.
Тиймээс тэд юу харсан бэ гэсэн хариулт нь нөхцөлт бөгөөд үүнийг шийдвэр гэж зарлахын оронд нөхцөл хэлбэрээр бичих хэрэгтэй.
Дахин итгэхээс өмнө юу өөрчлөгдөх ёстой
Хост-ыг дахин байгуулах нь зайлшгүй бөгөөд ховор хангалттай. Удирдлагын бүртгэл, байршуулалтын итгэмжлэл эсвэл гарын үсгийн түлхүүртэй хэвээр байгаа халдагч хост-ыг хүссэнээрээ буцааж болно. Сэргээлт нь эвдэрсэн машинаас хамааралгүй захиргааны замаас эхлэх ёстой.
Юуг эргүүлэхээ шийдэхийн өмнө түүн дээр юу байсныг жагсаа. Түлхүүр, үйлчилгээний бүртгэл, API токен, локал хэрэглэгч, товлосон ажил, итгэлцлийн харилцаа, байршуулалтын шугам бүгд нэр дэвшигч бөгөөд тус бүр үүнийг баталгаажуулах эзэнтэй.
ss -lntup
getent passwd
crontab -l
ip route show table allЭнэ жагсаалт нь хост юу санал болгож, хаа хүрч чадахыг харах хамгийн хурдан арга юм. Эхлээд нотолгоог хадгал, хариу арга хэмжээний эзний процессын дагуу, учир нь дахин байгуулалт мөрдөн шалгалтад хэрэгтэй зүйлийг яг устгадаг. NIST SP 800-61 3-р шинэчилсэн найруулга бэлтгэл, илрүүлэлт, хариу арга хэмжээ, сэргээлтийг дахин эхлүүлэх заавар гэж биш, нэг эрсдэлийн процессын хэсэг гэж үздэг.
Дараагийнхыг хямд болгодог хил хязгаар
Дөрвөн хил хязгаарыг хэрэгтэй болохоос өмнө бүтээх нь зүйтэй. Гарцаар дамжуулан баталгаажуулалт хийдэггүй бие даасан сэргээлтийн зам баримтал. Гарын үсгийн эрхийг урсгалд үйлчилдэг хост-оос тусад нь баримтал. Гарц хаа хүрч болохыг хязгаарла, ингэснээр эвдэрсэн гарц автоматаар эвдэрсэн удирдлагын сүлжээ болохгүй. Мөн итгэмжлэл бүр хэнд хамаарахыг тэмдэглэ, ингэснээр эргүүлэх нь археологийн төсөл биш, нэг утасны дуудлага болно.
Эдгээрийн аль нь ч эвдрэлээс сэргийлэхгүй. Тэд үүнийг хязгаарлаж, муу долоо хоног ба муу улирлын хоорондын ялгааг бий болгодог.