Kif tittestja x'ikopri swiċċ ta' emerġenza fuq host kompromess

Mexxi t-test ta' qtugħ, aqra r-riżultat ta' kull saff u ara fejn jieqaf swiċċ ta' emerġenza: jimblokka toroq, mhux software li jaqra data qabel l-encryption.

Ixgħel is-swiċċ ta' emerġenza, waqqaf is-server tat-tunnel u osserva x'għadu jagħmel il-magna. It-test jiswa, għax jifred dak li l-firewall tabilħaqq tinforza minn dak li assumist, u r-riżultati huma eqreb minn kemm jissuġġerixxu ħafna paġni tal-prodott. Is-swiċċ ta' emerġenza jmexxi toroq tan-netwerk; ma jmexxix software li diġà qed jaħdem fuq it-tagħmir. Nagħmel dan is-sekwenza fuq kull magna li l-klijent tagħha jistqarr li hija fail-closed, u tieħu madwar għaxar minuti.

Ibda mill-klijent, mhux mis-server

Il-punt tal-infurzar huwa l-host li qiegħed fuqu: il-firewall tas-sistema operattiva, servizz awżiljarju jew id-driver tal-klijent VPN stess. Dan huwa importanti għax kollox li s-swiċċ jista' jagħmel huwa limitat minn dak li jara dak is-saff. Jekk il-klijent jimplimenta l-imblokk b'regola ta' routing flimkien ma' marka, kull ħaġa b'privileġġi biżżejjed tista' żżid regola tagħha; jekk juża tabella tal-firewall tal-kernel, l-istess privileġġi jistgħu jeditjaw it-tabella. Is-saħħa taċ-ċifrar qatt ma tidħol f'din il-kwistjoni.

Għalhekk l-ewwel ħaġa li trid tiġi stabbilita hija min jippossjedi l-politika fuq dan it-tagħmir u x'jista' jingħata biex jaqbeż. Fuq magna tax-xogħol immexxija t-tweġiba normalment hija l-aġent tal-punt tat-tmiem tal-organizzazzjoni, u VPN personali ma tneħħix dawk il-kapaċitajiet, kif ikun ikkonfigurat it-tunnel.

L-ewwel pass: ikkonferma l-imblokk fuq it-toroq li taħseb li jkopri

Niżżel it-tunnel fit-tarf imbiegħed, mhux fil-klijent, sabiex il-klijent xorta jemmen li għandu jkun konness. Imbagħad ipprova dak li persuna tabilħaqq tipprova:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Trid klijent li jfalli malajr u nodfa, mhux wieħed li jiddendel sat-timeout tal-browser. Id-dendil normalment ifisser li l-pakketti jiġu mwarrba bil-kwiet minn regola mingħajr rifjut, li huwa aċċettabbli, iżda jista' jfisser ukoll li l-klijent ħalla rotta default antikata diretta lejn interface mejta. Aqra t-tabella tar-routing waqt li t-tunnel huwa niżżel: rotta default li għadha tindika lejn it-tagħmir tat-tunnel u regola tal-firewall li timblokka biss konnessjonijiet ħerġin ġodda huma żewġ stati differenti, u wieħed biss minnhom huwa fail-closed.

Irrepeti l-istess kmandi bl-għażla allow-LAN tal-klijent mixgħula u mitfija. Dak it-toggle huwa fejn jgħixu ħafna mill-mistħijiet, għax jerġa' jiftaħ triq li l-bqija tal-politika kienet miktuba biex tagħlaq.

It-tieni pass: iċċekkja DNS u IPv6 bħala toroq separati

Is-soluzzjoni tal-ismijiet hija l-vojt li jaqbeż ħafna implimentazzjonijiet, għax il-mistoqsija tista' toħroġ minn xi ħaġa oħra għajr is-solvitor tas-sistema. Staqsi b'għodda li tinjora l-konfigurazzjoni tas-solvitor tiegħek, u ċċekkja n-naħa v6 hemmhekk:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Tweġibiet vojta għaż-żewġ mistoqsijiet tal-isem bit-tunnel niżżel huma r-riżultat li trid. Jekk it-tieni mistoqsija twieġeb, indirizz tas-solvitor hardcoded huwa aċċessibbli u t-tunnel mhix l-unika triq 'il barra mill-magna. Jekk tirnexxi biss it-talba v6, il-politika tkopri IPv4 u tinjora IPv6, li hija l-istess tnixxija fi familja oħra ta' indirizzi.

Il-browsers jagħmlu dan aktar diffiċli biex tinqara minn barra, għax browser ikkonfigurat għal DNS fuq HTTPS isolvi l-mistoqsija permezz ta' talba HTTPS: il-mistoqsija hija mblokkata daqs kemm hu mblukkat il-port 443 lejn dak il-punt tat-tmiem. Fuq host fejn il-politika tippermetti s-subnet lokali, dik it-talba xorta tista' tilħaq solvitor fuq il-LAN.

It-tielet pass: ifred l-espożizzjoni tan-netwerk mill-espożizzjoni tal-punt tat-tmiem

Issa l-parti li ebda regola tal-firewall ma tilħaq. Is-swiċċ ta' emerġenza jimblokka toroq 'il barra mill-magna; ma jwaqqafx software fuq il-magna milli jaqra data qabel ma tiġi encrypted, u ma jwaqqafx dak is-software milli juża t-tunnel b'mod legali. Keylogger, estensjoni malizzjuża, skrin tħalla miftuħ, klijent ta' sinkronizzazzjoni b'permessi wesgħin: dawn kollha jċaqalqu informazzjoni fuq konnessjoni li s-swiċċ jogħġbu jippermetti.

L-istess jgħodd għal software ta' monitoraġġ li min iħaddem installa apposta. L-imblokk tat-toroq ma jneħħihx, u x-xiri ta' server VPN ġdid mhuwiex it-tiswija, għax l-espożizzjoni tinsab qabel it-tunnel.

Manager tal-clipboard li jtella' fuq kont fil-cloud juri l-punt b'mod qawwi. It-traffiku huwa encrypted, id-destinazzjoni hija permessa, u s-swiċċ ta' emerġenza jirrapporta stat tajjeb il-ħin kollu.

Ir-raba' pass: ikteb id-dikjarazzjoni li t-test tiegħek jappoġġja

Wara t-test ta' qtugħ tista' tiddikjara fatti speċifiċi: liema applikazzjonijiet falla, liema toroq waqfu, kif inġibdu DNS u IPv6 u jekk l-imblokk issodisfax meta waqa' t-tunnel. Ma tistax tgħid li s-sistema operattiva hija nadifa, u ma tistax tgħid li servizz fit-tarf imbiegħed iżomm il-login tiegħek privat.

Żomm iż-żewġ problemi separati u agħti lil kull wieħed il-kontroll tiegħu:

  • Swiċċ ta' emerġenza: il-ħtieġa definita tal-falliment, ivverifikata b'test ta' qtugħ li tirrepeti wara kull aġġornament tal-klijent.
  • Fiduċja fit-tagħmir: aġġornamenti appoġġjati, protezzjoni tal-punt tat-tmiem minn sors affidabbli, reviżjoni ta' permessi u talbiet ta' awtentikazzjoni mhux spjegati.
  • Inċident: segwi l-proċess tal-pjattaforma jew tal-organizzazzjoni meta jkun hemm suspett ta' kompromess; server ġdid mhuwiex pass tat-tindif.
  • Żvelar: meta titlob għajnuna, tpoġġix ċwievet privati jew arkivji dijanjostiċi sħaħ, għax il-logs u l-screenshots iġorru l-istess sigrieti bħall-konnessjoni.

Mexxi s-sekwenza mill-ġdid wara l-aġġornament li jmiss, għax is-swiċċ ta' emerġenza huwa konfigurazzjoni li timxi mal-verżjonijiet. It-test huwa l-unika prova li l-imġiba li tiddependi fuqha għadha l-imġiba li tikseb.

Artikli relatati