Ismijiet VPN privati qed ifallu? Il-protezzjoni mid-rebinding tad-DNS hija suspettata

Fil-LAN tal-uffiċċju l-isem intern iwieġeb mill-ewwel. Hekk kif il-VPN jitqabbad dan jieqaf jaħdem, l-applikazzjoni tirrapporta timeout, u t-tunnel innifsu jgħaddi t-traffiku mingħajr lanqas ilment. Dak li nbidel huwa r-resolver, u dan ir-resolver għandu opinjoni tiegħu dwar l-indirizzi privati.

Il-protezzjoni mir-rebinding teżisti biex twaqqaf trick speċifiku wieħed. Isem privat ippubblikat apposta jidher biżżejjed simili biex id-difiża tinxtegħel.

Aqra t-tweġiba qabel taqra l-politika

Staqsi l-isem lir-resolver li l-VPN fil-fatt iqassam, mhux lil dak li l-laptop tiegħek juża d-dar. Qabbel it-tweġiba mar-rekord li tistenna, u nnota jekk it-tweġiba hijiex vojta, miċħuda, jew mimlija b'indirizzi pubbliċi li ħadd ma pplana.

Is-sintomi jidħlu fuq xulxin, għalhekk il-forma tat-tweġiba tiddeċiedi d-dijanjosi. NXDOMAIN huwa rekord nieqes, REFUSED hija regola ta' aċċess, indirizz pubbliku għal isem intern huwa żball ta' politika jew ta' split-DNS, u indirizz privat korrett li l-klijent ma jistax juża huwa problema kompletament oħra. Konnessjoni miċħuda jew talba mwaqqfa ma tipprova xejn waħedha, u għalhekk l-ewwel kmand fi tickets bħal dawn għandu jkun tfittxija u mhux restart. Ikteb it-tweġiba qabel ma tbiddel xejn.

X'inhi tassew twaqqaf id-difiża

Id-DNS rebinding jaħdem billi jbiddel f'liema indirizz isem jiġi riżolt wara li l-klijent ikun diġà fdah. Paġna titgħabba minn isem ikkontrollat mill-attakkant, it-tweġiba tinbidel għal indirizz privat, u l-browser jiġi mqarraq biex jitkellem ma' xi ħaġa fuq ix-xibka lokali li qatt ma kien jaċċetta konnessjoni diretta magħha. Id-difiża hija li tirrifjuta tweġibiet li jindikaw lejn l-ispazju privat meta r-resolver qatt ma ntalab iservi namespace privat. Dik l-asimmetrija hija l-attakk kollu.

dnsmasq jiddokumenta eżattament dan l-imġieba, flimkien ma' eċċezzjonijiet għal kull dominju. Fil-manwal tiegħu jiddeskrivi rebind-domain-ok bħala l-mod kif issemmi dominji li jistgħu leġittimament jirritornaw indirizzi bħal dawn. Aqrah bħala sinjal li l-fix maħsub hija permess limitat, mhux swiċċ globali.

Illimita l-eċċezzjoni għan-namespace

Sejjaħ l-ewwel in-namespace, imbagħad l-eċċezzjoni. Ikkonferma li l-isem li qed ifalli jappartjeni għal dominju kkontrollat mill-organizzazzjoni u li r-rekord jinżamm apposta. Indirizz mhux mistenni li biss jixbah firxa tal-LAN familjari jistħoqqlu suspett, mhux eċċezzjoni, għalhekk iċċekkja s-sid taż-żona qabel ma tikteb xi permess.

# ask the resolver the VPN pushed, and show the full answer
dig +noall +answer db.corp.example @10.40.0.1
dig +short db.corp.example @10.40.0.1

# dnsmasq: what does the running configuration already allow?
grep -R 'rebind' /etc/dnsmasq.d /etc/dnsmasq.conf

Imbagħad żid l-aktar permess dejjaq li jkopri l-ismijiet maħsuba: dominju wieħed, jew subdominju delegat wieħed, fil-konfigurazzjoni tar-resolver li jistaqsu għaliha l-klijenti tal-VPN. Li titfi l-protezzjoni għal kull isem fuq dak ir-resolver jneħħi d-difiża għalihom kollha f'daqqa, inklużi l-ismijiet li qatt ma kellhom bżonnha.

Split DNS jaqa' fl-istess deċiżjoni. Jekk in-namespace privat għandu jiġi mwieġeb biss fuq ir-resolver intern, ippubblikah hemmhekk u waqqaf it-tnixxija tiegħu lejn resolvers pubbliċi, sabiex l-eċċezzjoni tkopri triq waħda minflok kull triq.

Erġa' ittestja r-riżorsa u d-difiża

Staqsi mill-ġdid, imbagħad qabbad mas-servizz u ċċekkja x'jara l-klijent. Tweġiba privata korretta b'sessjoni li taħdem tfisser li l-eċċezzjoni daħlet fis-seħħ. Tweġiba korretta b'sessjoni mwaqqfa tfisser li s-suspettat li jmiss huwa r-rotta jew l-identità tas-servizz.

# the internal name and the public control should behave differently
dig +short db.corp.example @10.40.0.1
dig +short www.example.com @10.40.0.1

# and the service itself, with the certificate it presents
curl -sS -o /dev/null -w '%{http_code}\n' https://db.corp.example/health

Ittestja wkoll isem pubbliku permezz tal-istess resolver. Il-protezzjoni għandha għadha taġixxi sew għall-ismijiet barra l-eċċezzjoni, u jekk dan it-test ifalli, il-bidla kienet usa' milli maħsub. Żomm il-validazzjoni taċ-ċertifikati mhux mittiefsa tul il-proċess kollu, għax isem li jiġi riżolt sew xorta jrid jaqbel maċ-ċertifikat li jippreżenta s-servizz.

Irreġistra t-tweġiba miċħuda, id-dominju, ir-resolver u min jippossjedi l-politika fit-ticket. Dak ir-rekord huwa dak li jibdel waqfa interna misterjuża f'bidla fil-konfigurazzjoni li xi ħadd jista' jirrevedi.