Gerbang VPN anda telah diceroboh: apa yang sebenarnya terdedah

Gerbang VPN terletak di hujung terowong yang dilindunginya, bermakna ia menamatkan penyulitan itu dan bukan membiarkannya berlalu. Jika penyerang mengawal hos, terowong itu masih kelihatan sihat dari luar manakala mesin di tengahnya tidak lagi boleh dipercayai. Soalan yang berguna bukanlah sama ada semuanya dinyahsulit. Soalannya ialah apa yang hos itu dapat lihat, ke mana ia dapat sampai, dan rahsia apa yang benar-benar disimpan di atasnya. Ketiga-tiga jawapan itu sangat berbeza, dan tindak balas juga berbeza bersamanya.

Gerbang menamatkan terowong, jadi ia melihat ke dalamnya

Penyulitan dalam VPN berjalan lompat demi lompat, dan gerbang ialah lompatan itu. Ia menanggalkan lapisan luar, menggunakan dasar dan memajukan paket dalam, jadi setiap paket yang dibawa wujud dalam bentuk boleh dibaca dalam memori hos itu pada satu ketika. Itu reka bentuk, bukan kecacatan. Itulah sebabnya kompromi gerbang ialah peristiwa berbeza daripada kompromi kriptografi terowong.

Perkara pertama yang penyerang peroleh ialah kedudukan: keupayaan memerhati trafik yang dibawa, mengubah pemajuan, atau menjawab menggantikan backend. Apa yang diperoleh seterusnya bergantung pada hos, dan di sinilah orang terlebih anggar. Akses kepada gerbang sahaja tidak menyerahkan kunci sesi TLS pelayar, kerana kunci itu tidak pernah berada di gerbang.

Tiga pendedahan yang tidak sama besar

Bahagikan soalan kepada trafik yang dibawa, sistem yang boleh dicapai dan rahsia tersimpan, kemudian jawab setiap satu secara berasingan.

Baris tengah ialah baris yang dilangkau. Gerbang biasanya mempunyai laluan ke rangkaian peribadi dan alamat sumber yang sudah dipercayai backend, jadi soalan yang menarik ialah apa yang dibenarkan oleh backend itu dari alamat tersebut. Dasar akses klien yang sempit ialah kawalan yang baik, tetapi penyerang pada hos tidak terhad kepada antara muka yang akan digunakan oleh klien biasa.

Baris bawah menentukan berapa lama insiden berlangsung. Kunci pelayan dan kunci CA mempunyai jejari kesan yang sama sekali berbeza, begitu juga akaun pentadbir tempatan dan token pemantauan baca sahaja.

HTTPS di dalam terowong kekal HTTPS

TLS aplikasi tamat dalam aplikasi, bukan di gerbang VPN, jadi gerbang yang dikompromi memerhati teks sifer bagi aliran tersebut. Itu had sebenar kepada apa yang penyerang peroleh, dan ia wajar dinyatakan dengan jelas, kerana dakwaan sebaliknya menyebarkan panik dan keputusan buruk. Dua syarat mematahkannya. Jika ada komponen pemeriksaan dengan sijil dipercayai di laluan, gerbang mungkin melihat teks biasa mengikut reka bentuk. Jika titik akhir aplikasi itu sendiri dikompromi, terowong itu tidak relevan.

Jadi jawapan kepada apa yang mereka lihat adalah bersyarat, dan ia harus dicatat sebagai syarat dan bukan diumumkan sebagai keputusan.

Apa yang perlu berubah sebelum mempercayainya lagi

Membina semula hos itu perlu dan jarang memadai. Penyerang yang masih memegang akaun pengurusan, kelayakan penggunaan atau kunci tandatangan boleh mengembalikan hos itu sesuka hatinya. Pemulihan mesti bermula dari laluan pentadbiran yang tidak bergantung pada mesin yang dikompromi.

Inventori apa yang ada padanya sebelum memutuskan apa yang perlu diputar. Kunci, akaun perkhidmatan, token API, pengguna tempatan, tugas berjadual, hubungan kepercayaan dan saluran penggunaan semuanya calon, dan setiap satu mempunyai pemilik yang sepatutnya mengesahkannya.

ss -lntup
getent passwd
crontab -l
ip route show table all

Senarai itu ialah cara terpantas untuk melihat apa yang ditawarkan hos dan ke mana ia dapat sampai. Simpan bukti terlebih dahulu, mengikut proses pemilik tindak balas, kerana pembinaan semula memusnahkan tepat apa yang diperlukan oleh siasatan. NIST SP 800-61 Semakan 3 menganggap persediaan, pengesanan, tindak balas dan pemulihan sebagai bahagian satu proses risiko dan bukan sebagai arahan mula semula.

Sempadan yang menjadikan yang seterusnya lebih murah

Empat sempadan wajar dibina sebelum anda memerlukannya. Kekalkan laluan pemulihan bebas yang tidak mengesahkan identiti melalui gerbang. Kekalkan kuasa tandatangan berasingan daripada hos yang menyediakan trafik. Hadkan ke mana gerbang boleh sampai, supaya gerbang yang dikompromi tidak automatik menjadi rangkaian pengurusan yang dikompromi. Dan catat siapa memiliki setiap kelayakan, supaya putaran menjadi satu panggilan telefon dan bukan projek arkeologi.

Tiada satu pun daripada ini menghalang kompromi. Semuanya mengehadkannya, dan membuat perbezaan antara seminggu yang buruk dan satu suku yang buruk.