TunnelCrack kontra TunnelVision: xiex fil-fatt ikisser kull wieħed

Żewġ ismijiet ta’ riċerka jintużaw minflok xulxin għal kwalunkwe traffiku tal-VPN li joħroġ mill-mina, iżda l-mekkaniżmi warajhom mhumiex l-istess. TunnelCrack jiddeskrivi żewġ familji ta’ eċċezzjonijiet tar-rotta; TunnelVision jiddeskrivi rotta li d-DHCP jipprovdi fuq il-punt aħħari. Lanqas waħda minnhom ma tikser il-kriptaġġ, u lanqas waħda ma tgħidlek x’tagħmel illum verżjoni partikolari tal-klijent. Ħames verifiki jifirdu l-mekkaniżmi mill-intestatura.

L-ewwel pass: semmi l-mekkaniżmu li qed tivverifika

Id-divulgazzjoni ta’ TunnelCrack ta’ Awwissu 2023 tiddeskrivi żewġ familji ta’ attakki. Fil-każ tan-netwerk lokali, it-traffiku li l-klijent iqis bħala li jappartjeni lin-netwerk lokali jieħu eċċezzjoni ta’ aċċess lokali u joħroġ mill-mina. Fil-każ tal-indirizz tas-server, ir-rotta li l-klijent jeħtieġ biex jasal għas-server tal-VPN innifsu tinsab barra l-mina, u avversarju li jikkontrolla dak l-indirizz jista’ jisfrutta l-eċċezzjoni.

TunnelVision huwa rapport separat dwar rotot statiċi bla klassi li jipprovdi d-DHCP. Server DHCP malizzjuż jista’ jagħti lill-punt aħħari rotot li jbiddlu t-triq li jieħu t-traffiku, inkluża t-triq lejn is-server tal-VPN. Ir-rapport jagħraf xogħol preċedenti dwar effetti tar-rotta relatati, li jfakkar li l-mekkaniżmu sottostanti huwa eqdem mill-isem.

Żomm l-ismijiet marbuta mal-mekkaniżmi tagħhom. Li tapplika tiswija għal wieħed għax l-ieħor fl-aħbarijiet hija l-mod kif reviżjoni tipproduċi mozzjoni mingħajr kopertura.

It-tieni pass: ħares lejn l-eċċezzjoni tal-aċċess lokali

Il-biċċa l-kbira tal-klijenti jeżentaw it-traffiku tan-netwerk lokali biex il-printers, ix-xandir tal-iskrin u l-qsim tal-fajls ikomplu jaħdmu waqt li l-mina tkun attiva. Dik l-eċċezzjoni hija deċiżjoni ta’ politika bi spiża tas-sigurtà: avversarju fl-istess netwerk jista’ jippreżenta ruħu bħala ospit lokali, u t-traffiku li jasal għandu qatt ma daħal fil-mina.

Staqsi jekk il-profil skjerat għandux bżonn l-eċċezzjoni xejn. Forza tax-xogħol mill-bogħod li qatt ma tuża sejba lokali spiss tista’ titfiha, u s-servizzi lokali li jifdal jistgħu jintlaħqu permezz ta’ triq dokumentata. Fejn l-eċċezzjoni hija meħtieġa, għid liema destinazzjonijiet tkopri minflok tiddeskriviha bħala traffiku lokali.

Il-verifika hija kwistjoni ta’ konfigurazzjoni, mhux qbid ta’ pakketti. Aqra s-setting tal-profil u d-dokumentazzjoni tal-klijent għall-verżjoni li qed tiskjera, għax il-valur awtomatiku jvarja bejn prodotti u bejn verżjonijiet tal-istess prodott. Ikteb it-tweġiba ħdejn il-profil, biex il-verifikatur li jmiss ma jkollux għalfejn jiddeduċiha mill-imġiba. Eċċezzjoni li ħadd ma ddokumenta hija eċċezzjoni li ħadd ma jivverifika.

It-tielet pass: ħares kif jitgħallem l-indirizz tas-server

Il-klijent irid jasal għas-server tal-VPN qabel ma teżisti kwalunkwe mina, għalhekk dik id-destinazzjoni tiġi rrotta barra l-mina mid-disinn. Jekk l-indirizz jiġi mgħallem minn isem, il-pass tar-riżoluzzjoni huwa parti mit-triq tal-fiduċja, u avversarju li jista’ jwieġeb dik il-mistoqsija jista’ jidderieġi l-klijent lejn ospit li jikkontrolla.

L-irbit tal-indirizz, l-użu ta’ ċertifikat ivverifikat bl-isem korrett u r-rifjut li taqa’ lura għal server mhux ivverifikat kollha jnaqqsu l-espożizzjoni. Xejn minnhom ma jneħħi l-ħtieġa li l-klijent jasal għas-server barra l-mina; huma jibdlu min jista’ jwieġeb għal dak l-indirizz.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

It-tfittxija tar-rotta turi l-interface li l-klijent juża għall-indirizz tas-server, u dik hija l-eċċezzjoni f’forma konkreta. Jekk dik it-tfittxija tirritorna l-interface tal-mina, il-klijent ma jistax ibenni l-mina xejn, għalhekk rotta ta’ barra hija mistennija u l-mistoqsija hija biss kif jintgħażel id-destinazzjoni tagħha.

Ir-raba’ pass: ħares lejn ir-rotot li jipprovdi d-DHCP

Ir-rotot statiċi bla klassi jippermettu lis-server DHCP iqassam entrati tat-tabella tar-rotta, u l-punt aħħari normalment jaċċettahom mingħajr ma jistaqsi. F’netwerk fejn avversarju jista’ jwieġeb għad-DHCP aktar malajr mis-server leġittimu, dawk l-entrati jistgħu jidderieġu mill-ġdid traffiku li l-utent jaħseb li qiegħed fil-mina.

Qabbel ir-rotot fuq il-punt aħħari mar-rotot li tistenna. Rotta awtomatika jew prefiss wiesa’ li jindika lejn il-gateway lokali waqt li l-mina tkun attiva hija s-sinjal li jistħoqqlu investigazzjoni, u tidher mingħajr ebda traffiku ta’ attakk.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

L-aħħar setting hija l-kontroll fuq in-naħa tal-punt aħħari li ħafna klijenti u pjattaformi jesponu b’xi forma: jinjora r-rotot li jipprovdi n-netwerk. Li titfi l-aċċettazzjoni awtomatika tar-rotot hija kummerċ, għax titfi wkoll ir-rotta maqsuma leġittima minn server DHCP korporattiv, għalhekk iddeċiedi skont il-klassi tan-netwerk u mhux globalment.

Il-ħames pass: ifred l-avviż mill-bini attwali

Attakk ippubblikat jiddeskrivi mġiba osservata fuq verżjonijiet partikolari tal-klijent f’ċertu żmien. Dan ma jistabbilixxix li l-laptop quddiemek huwa affettwat, u ma jistabbilixxix li d-difett ġie miġjub. Iż-żewġ talbiet jeħtieġu n-numru reali tal-bini u l-avviż attwali tal-fornitur.

Irreġistra l-verżjoni tal-klijent, il-pjattaforma, is-settings tal-profil li jirregolaw l-eċċezzjonijiet hawn fuq u d-data li vverifikajt. Dik id-dokument tixjieħ b’mod onest, filwaqt li nota li tgħid li l-VPN ġie patched għal TunnelCrack ma tixjieħx b’mod onest. Erġa’ aqraha kull darba li l-klijent jaġġorna, għax il-valur awtomatiku tal-profil jista’ jinbidel taħt verżjoni li ma messu hija.

Meta tivvalida tassew, uża pjan approvat kontra l-punt aħħari tiegħek u destinazzjoni mhux ta’ ħsara. Li tirriproduċi l-attakk kontra utenti oħra fuq netwerk maqsum mhuwiex test, u li titfi l-verifika tal-pari jew il-kriptaġġ tal-applikazzjoni biex tiffaċilita osservazzjoni tneħħi l-protezzjoni li kien qed tipprova tkejjel.

Fl-aħħar, żomm il-protezzjoni fil-livell tal-applikazzjoni fl-istampa. Eċċezzjoni tar-rotta tista’ tesponi traffiku li l-mina kienet iġġorr, u it-TLS tal-applikazzjoni għadu jipproteġi dak it-traffiku minn tarf sa tarf. Iż-żewġ saffi jfallu b’mod independenti, u għalhekk kanal ta’ kontroll konness mhuwiex prova li kull fluss ħa t-triq maħsuba.