तुम्ही CVE-2019-14899 ने प्रभावित आहात का? कर्नेल तपासणी यादी

अनेक वर्षे VPN चालवणाऱ्या मशीनवर स्कॅनर CVE-2019-14899 चिन्हांकित करतो, आणि पहिली प्रतिक्रिया म्हणजे VPN खराब झाला असे म्हणणे. ही चुकीची चौकट आहे. उघड झालेली समस्या बळीच्या स्थानिक नेटवर्कवरील हल्लेखोर विशिष्ट TCP कनेक्शनबद्दल माहिती अनुमान करतो याबद्दल आहे, वेबसाइट तुमचा बोगदा डिक्रिप्ट करत आहे याबद्दल नाही.

खालील चार तपासण्या क्रमाने करा. प्रत्येक तपासणी एकतर समस्या अरुंद करते किंवा तपास संपवते.

तपासणी 1: सल्ला तुमच्या कर्नेलला लागू आहे का

ब्लॉगवरील प्रकाशन तारखेचा सारांश नाही, तर तुमच्या वितरणाची स्वतःची नोंद पहा. या CVE साठीचे Ubuntu सुरक्षा पृष्ठ 18.04 LTS साठी सामान्य linux पॅकेज सुधारणा पुढे ढकलून असुरक्षित म्हणून सूचीबद्ध करते, आणि इतर कर्नेल पॅकेजेस स्वतंत्र ओळींमध्ये नोंदवते. तुम्ही चालवत असलेली आवृत्ती आणि कर्नेल पॅकेज योग्य ओळीशी जुळवा. ओळखीचा वाटणारा आवृत्ती क्रमांक म्हणजे जुळणी नाही.

स्कॅनरचा हिट म्हणजे तो ओळखकर्ता तुमच्या यादीतील कशालातरी लागू होतो. शेजारच्या उपकरणाने मशीनचा गैरवापर केला असे नाही.

तपासणी 2: मॉडेलमधील हल्लेखोर कोण आहे

धोका मॉडेल जवळचा हल्लेखोर गृहीत धरतो जो बळीच्या प्रवेश नेटवर्कशी संवाद साधू शकतो. ही एक विशिष्ट स्थिती आहे, तुमच्या निर्गम नोडचा तिरस्कार करणारी कोणतीही दूरस्थ सेवा नाही. वापरकर्ते कॉफी शॉपमधून जोडले तर हे गृहीत बरोबर आहे; ते व्यवस्थापित कॉर्पोरेट LAN मागे बसले तर ही वेगळी चर्चा आहे.

बोगदा एन्क्रिप्टेड असला तरी स्थानिक नेटवर्कवरील विश्वासाचा प्रश्न खुला ठेवा. एन्क्रिप्शन जवळीक मागणाऱ्या प्रश्नापेक्षा वेगळ्या प्रश्नाचे उत्तर देते.

तपासणी 3: तुम्ही कोणत्या स्तरावर अवलंबून आहात

योग्यरित्या पडताळलेले HTTPS अनुप्रयोग नोंदींसाठी स्वतःचे संरक्षण देते, आणि TLS 1.3 ती माहिती टोकापासून टोकापर्यंत प्रमाणित करते. पण हल्लेखोर खालील TCP कनेक्शनला व्यत्यय आणू शकत नाही असे ते वचन देत नाही. म्हणून अनुप्रयोग वाचण्यास सुरक्षित असूनही व्यत्ययास पात्र असू शकतो, आणि व्यत्यय हा उघड होण्यासारखा परिणाम नाही. धोका ठरवण्यापूर्वी या दोन्हीत फरक करा.

हा फरक लेखनासाठी महत्त्वाचा आहे. VPN असुरक्षित आहे असे अस्पष्ट विधान जवळचा हल्लेखोर काय निरीक्षण करू शकतो किंवा व्यत्यय आणू शकतो याबद्दलच्या मर्यादित विधानात बदलतो.

तपासणी 4: तुम्ही प्रत्यक्षात कोणती प्रतिबंधात्मक कृती लागू केली

उघडीकरण मार्गनिर्देशन आणि गाळणी प्रतिबंधात्मक कृतींची चर्चा करते आणि त्यांच्या मर्यादांबद्दल स्पष्ट आहे, यात उलट-मार्ग गाळणी आणि असममित मार्गांचा समावेश आहे. प्रत्येक VPN होस्टवर एक sysctl मूल्य चिकटवून ते सुटले असे म्हणू नका. उलट-मार्ग गाळणी मार्गनिर्देशनाशी संवाद साधते, त्यामुळे एका टोपोलॉजीला मदत करणारे मूल्य दुसरी खराब करू शकते.

पडताळणी ही आज्ञा आहे, चेकबॉक्स नाही. sysctl net.ipv4.conf.all.rp_filter जागतिक मूल्य दाखवते, आणि sysctl net.ipv4.conf.tun0.rp_filter प्रत्यक्ष लागू होणारे प्रत्येक-इंटरफेस मूल्य दाखवते. कोणत्याही बदलापूर्वी आणि नंतर दोन्ही वाचा.

वितरणाचे मार्गदर्शन आणि तुमची स्वतःची मार्गनिर्देशन रचना वापरा, नंतर सेटिंग कोणीही लोड न केलेल्या फाइलमध्ये नाही तर बोगदा वाहणाऱ्या इंटरफेसवर पुष्टी करा.

काय नोंदवावे

जवळच्या हल्लेखोराचे गृहीत, चालू कर्नेल पॅकेज, जुळवलेली सल्ला ओळ, लागू केलेली प्रतिबंधात्मक कृती आणि ती कुठे लागू आहे, तसेच असलेले अनुप्रयोग संरक्षण नोंदवा. सल्ला तपासल्याची तारीख जोडा, कारण ती पृष्ठे बदलतात. हे संयोजन हे समर्थनीय मूल्यांकन आहे.

OS प्रकाशन तारीख आणि चालू VPN कनेक्शन हे मूल्यांकन नाही. ती गोळा करण्यास सोपी असलेली दोन तथ्ये आहेत.