TunnelCrack versus TunnelVision: wat elk ervan echt breekt

Twee onderzoeksnamen worden door elkaar gebruikt voor al het VPN-verkeer dat de tunnel verlaat, maar de mechanismen erachter zijn niet hetzelfde. TunnelCrack beschrijft twee families routeringsuitzonderingen; TunnelVision beschrijft een route die DHCP op het eindpunt levert. Geen van beide breekt de versleuteling, en geen van beide vertelt u wat een specifieke clientversie vandaag doet. Vijf controles scheiden de mechanismen van de kop.

Stap één: benoem het mechanisme dat u onderzoekt

De TunnelCrack-openbaarmaking van augustus 2023 beschrijft twee aanvalsfamilies. In het geval van het lokale netwerk krijgt verkeer dat de client als lokaal beschouwt een uitzondering voor lokale toegang en verlaat de tunnel. In het geval van het serveradres ligt de route die de client nodig heeft om de VPN-server zelf te bereiken buiten de tunnel, en een tegenstander die dat adres beheert, kan de uitzondering misbruiken.

TunnelVision is een apart rapport over klasseloze statische routes die door DHCP worden geleverd. Een kwaadwillende DHCP-server kan het eindpunt routes geven die het pad van het verkeer veranderen, inclusief het pad naar de VPN-server. Het rapport erkent eerder werk over verwante routeringseffecten, wat eraan herinnert dat het onderliggende mechanisme ouder is dan de naam.

Houd de namen aan hun mechanismen gebonden. Een correctie voor de ene toepassen omdat de andere in het nieuws is, is hoe een beoordeling beweging zonder dekking oplevert.

Stap twee: bekijk de uitzondering voor lokale toegang

De meeste clients zonderen lokaal netwerkverkeer uit zodat printers, casten en bestandsdeling blijven werken terwijl de tunnel actief is. Die uitzondering is een beleidsbeslissing met een beveiligingskostprijs: een tegenstander op hetzelfde netwerk kan zich als lokale host presenteren, en het verkeer dat hem bereikt, is nooit in de tunnel geweest.

Vraag of het uitgerolde profiel de uitzondering überhaupt nodig heeft. Een externe workforce die nooit lokale ontdekking gebruikt, kan die vaak uitschakelen, en de resterende lokale diensten zijn via een gedocumenteerd pad bereikbaar. Waar de uitzondering nodig is, noem welke bestemmingen zij dekt in plaats van haar als lokaal verkeer te beschrijven.

De controle is een configuratievraag, geen packet capture. Lees de profielinstelling en de clientdocumentatie voor de versie die u uitrolt, want de standaardwaarde verschilt tussen producten en tussen versies van hetzelfde product. Schrijf het antwoord naast het profiel, zodat de volgende beoordelaar het niet uit gedrag hoeft af te leiden. Een uitzondering die niemand heeft gedocumenteerd, is een uitzondering die niemand beoordeelt.

Stap drie: bekijk hoe het serveradres wordt geleerd

De client moet de VPN-server bereiken voordat er een tunnel bestaat, dus die bestemming wordt ontwerptechnisch buiten de tunnel gerouteerd. Als het adres uit een naam wordt geleerd, is de resolutiestap deel van het vertrouwenspad, en een tegenstander die die query kan beantwoorden, kan de client naar een host sturen die hij beheert.

Het vastzetten van het adres, het gebruiken van een geverifieerd certificaat met de juiste naam en het weigeren terug te vallen op een niet-geverifieerde server verminderen alle de blootstelling. Geen ervan haalt de noodzaak weg om de server buiten de tunnel te bereiken; ze veranderen wie voor dat adres kan antwoorden.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

De route-opzoeking toont de interface die de client voor het serveradres zou gebruiken, en dat is de uitzondering in concrete vorm. Als die opzoeking de tunnelinterface teruggeeft, kan de client de tunnel niet eens opzetten, dus een buitenroute is verwacht en de vraag is alleen hoe de bestemming ervan wordt gekozen.

Stap vier: bekijk de routes die DHCP levert

Klasseloze statische routes laten een DHCP-server routeringstabellen-vermeldingen uitdelen, en het eindpunt accepteert ze meestal zonder te vragen. Op een netwerk waar een tegenstander sneller dan de legitieme server op DHCP kan antwoorden, kunnen die vermeldingen verkeer omleiden waarvan de gebruiker denkt dat het in de tunnel zit.

Vergelijk de routes op het eindpunt met de routes die u verwacht. Een standaardroute of een breed prefix dat naar de lokale gateway wijst terwijl de tunnel actief is, is de signatuur die onderzoek waard is, en zij is zichtbaar zonder enig aanvalsverkeer.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

De laatste instelling is de controle aan de eindpuntzijde die veel clients en platformen in een of andere vorm blootleggen: routes negeren die het netwerk levert. Automatische route-acceptatie uitschakelen is een afweging, want het schakelt ook legitieme gesplitste routering van een bedrijfs-DHCP-server uit, dus beslis het per netwerkklasse en niet wereldwijd.

Stap vijf: scheid de mededeling van de huidige build

Een gepubliceerde aanval beschrijft gedrag dat op bepaalde clientversies op een bepaald moment is waargenomen. Het stelt niet vast dat de laptop voor u is getroffen, en het stelt niet vast dat die is gerepareerd. Beide beweringen vereisen het werkelijke buildnummer en de actuele mededeling van de leverancier.

Noteer de clientversie, het platform, de profielinstellingen die de bovenstaande uitzonderingen bepalen en de datum waarop u hebt gecontroleerd. Dat verslag veroudert eerlijk, terwijl een notitie dat de VPN voor TunnelCrack is gepatcht dat niet eerlijk doet. Lees het opnieuw bij elke clientupdate, want een profielstandaard kan veranderen onder een versie die u niet hebt aangeraakt.

Wanneer u daadwerkelijk valideert, gebruik een goedgekeurd plan tegen uw eigen eindpunt en een onschadelijke bestemming. De aanval reproduceren tegen andere gebruikers op een gedeeld netwerk is geen test, en peer-verificatie of applicatieversleuteling uitschakelen om een waarneming makkelijker te maken, haalt de bescherming weg die u probeerde te meten.

Ten slotte, houd bescherming op applicatieniveau in beeld. Een routeringsuitzondering kan verkeer blootleggen dat de tunnel zou hebben gedragen, en TLS in de applicatie beschermt dat verkeer nog steeds van eind tot eind. De twee lagen falen onafhankelijk, en daarom is een verbonden besturingskanaal geen bewijs dat elke stroom het bedoelde pad nam.