Il-gateway VPN tiegħek hija kompromessa: x’inhu realment espost
Gateway VPN imħakkra tara ġewwa t-tunnel tagħha stess, iżda dan mhuwiex li tikkontrolla kull sessjoni. Issepara t-traffiku, il-firxa u s-sigrieti maħżuna qabel l-irkupru.
Gateway VPN tinsab fit-tarf tat-tunnel li tipproteġi, li jfisser li ttemm dik il-kriptaġġ minflok ma tħalliha tgħaddi. Jekk attakkant jikkontrolla l-host, it-tunnel jibqa’ jidher f’saħħtu minn barra filwaqt li l-magna fin-nofs m’għadhiex affidabbli. Il-mistoqsija utli mhix jekk kollox huwiex deċifrat. Hija x’seta’ jara dak il-host, fejn seta’ jasal, u liema sigrieti kienu realment maħżuna fuqu. Dawn it-tliet tweġibiet huma ferm differenti, u r-risposta hija differenti magħhom.
Il-gateway ttemm it-tunnel, għalhekk tara ġo fih
Il-kriptaġġ f’VPN isir qabża b’qabża, u l-gateway hija l-qabża. Hija tneħħi s-saff ta’ barra, tapplika l-politika u tibgħat il-pakett ta’ ġewwa, għalhekk kull pakett li jinġarr jeżisti f’forma li tinqara fil-memorja ta’ dak il-host f’xi mument. Dan huwa d-disinn u mhux difett. Huwa wkoll għalhekk li l-kompromess tal-gateway huwa avveniment differenti mill-kompromess tal-kriptografija tat-tunnel.
L-ewwel ħaġa li jikseb l-attakkant hija pożizzjoni: il-kapaċità li josserva t-traffiku li jinġarr, ibiddel it-trasferiment, jew iwieġeb minflok backend. Dak li jikseb wara jiddependi mill-host, u hawn in-nies jissovalutaw. L-aċċess għall-gateway biss ma jgħaddix id-dwal tas-sessjoni TLS tal-browser, għax dawk qatt ma kienu fuq il-gateway.
Tliet espożizzjonijiet li mhumiex daqs xulxin
Aqsam il-mistoqsija fi traffiku li jinġarr, sistemi li jistgħu jintlaħqu u sigrieti maħżuna, imbagħad wieġeb lil kull waħda għaliha.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Ir-ringiela tan-nofs hija dik li tinħalla barra. Gateway normalment ikollha rotta lejn netwerks privati u indirizz tas-sors li l-backends diġà jafdaw, għalhekk il-mistoqsija interessanti hija x’jitolbu dawk il-backends minn dak l-indirizz. Politika dejqa ta’ aċċess tal-klijent hija kontroll tajjeb, iżda attakkant fuq il-host mhuwiex limitat għall-interface li juża klijent normali.
Ir-ringiela t’isfel tiddeċiedi kemm iddum l-inċident. Ċavetta tas-server u ċavetta CA għandhom raġġi ta’ impatt kompletament differenti, u l-istess kont amministratur lokali u token ta’ monitoraġġ biss ta’ qari.
HTTPS ġewwa t-tunnel jibqa’ HTTPS
It-TLS tal-applikazzjoni jintemm fl-applikazzjoni, mhux fil-gateway VPN, għalhekk gateway kompromessa tosserva ċifrat għal dawk il-flussi. Dan huwa limitu reali għal dak li jikseb l-attakkant, u tajjeb jingħad ċar, għax id-dikjarazzjoni opposta tifrex paniku u deċiżjonijiet ħżiena. Żewġ kundizzjonijiet ikissruh. Jekk komponent ta’ spezzjoni b’ċertifikat affidabbli jkun fil-passaġġ, il-gateway tista’ tara test ċar skont id-disinn. Jekk il-punt tat-tmiem tal-applikazzjoni nnifsu jkun kompromess, it-tunnel huwa irrelevanti.
Għalhekk it-tweġiba għal dak li raw hija kundizzjonali, u għandha tinkiteb bħala kundizzjonijiet minflok ma tiġi mħabbra bħala verdett.
X’għandu jinbidel qabel terġa’ tafdaha
Li terġa’ tinbena l-host hija meħtieġa u rari biżżejjed. Attakkant li għad għandu kont ta’ ġestjoni, kredenzjali ta’ implimentazzjoni jew ċavetta ta’ firma jista’ jħalli l-host kif irid. L-irkupru għandu jibda minn triq amministrattiva li ma tiddependix mill-magna kompromessa.
Inventarja dak li kien fuqu qabel ma tiddeċiedi x’għandu jiġi mdawwar. Ċwievet, kontijiet tas-servizz, tokens API, utenti lokali, xogħlijiet skedati, relazzjonijiet ta’ fiduċja u l-pipeline tal-implimentazzjoni kollha huma kandidati, u kull wieħed għandu sid li għandu jikkonfermah.
ss -lntup
getent passwd
crontab -l
ip route show table allDik il-lista hija l-aktar mod mgħaġġel biex tara x’offra l-host u fejn seta’ jasal. Ippreserva l-evidenza l-ewwel, skont il-proċess tas-sid tar-risposta, għax bini mill-ġdid jeqred eżattament dak li teħtieġ investigazzjoni. NIST SP 800-61 Reviżjoni 3 tqis it-tħejjija, id-detezzjoni, ir-risposta u l-irkupru bħala partijiet ta’ proċess wieħed ta’ riskju u mhux bħala struzzjoni ta’ bidu mill-ġdid.
Konfini li jagħmlu dak li jmiss irħas
Erba’ konfini jixirqu jinbnew qabel ma jkollok bżonnhom. Żomm triq tal-irkupru indipendenti li ma tawtentikax ruħha mill-gateway. Żomm l-awtorità tal-firma separata mill-host li sservi t-traffiku. Illimita fejn il-gateway tista’ tasal, sabiex gateway kompromessa ma tkunx awtomatikament netwerk ta’ ġestjoni kompromess. U rreġistra min huwa sid kull kredenzjali, sabiex id-dawran ikun telefonata u mhux proġett ta’ arkeoloġija.
Xejn minn dawn ma jipprevjeni l-kompromess. Huma jillimitawh, u jagħmlu d-differenza bejn ġimgħa ħażina u kwart ħażin.