TunnelCrack mot TunnelVision: kva kvar av dei eigentleg bryt

To forskingsnamn blir brukte om kvarandre for all VPN-trafikk som forlèt tunnelen, men mekanismane bak dei er ikkje dei same. TunnelCrack skildrar to familiar av rutingsunntak; TunnelVision skildrar ei rute som DHCP leverer på endepunktet. Ingen av dei bryt krypteringa, og ingen av dei fortel deg kva ein bestemt klientversjon gjer i dag. Fem kontrollar skil mekanismane frå overskrifta.

Første steg: nemn mekanismen du går gjennom

TunnelCrack-avsløringa frå august 2023 skildrar to åtaksfamiliar. I tilfellet med det lokale nettet får trafikk som klienten reknar som høyre til det lokale nettet, eit lokalt tilgangsunntak og forlèt tunnelen. I tilfellet med tenaradressa ligg ruta klienten treng for å nå sjølve VPN-tenaren utanfor tunnelen, og ein motstandar som kontrollerer den adressa, kan utnytte unntaket.

TunnelVision er ein eigen rapport om klasselause statiske ruter som DHCP leverer. Ein vondsinna DHCP-tenar kan gje endepunktet ruter som endrar kva veg trafikken tek, mellom anna vegen mot VPN-tenaren. Rapporten anerkjenner tidlegare arbeid om skylde ruteringseffektar, noko som minner om at den underliggjande mekanismen er eldre enn namnet.

Hald namna knytte til mekanismane sine. Å bruke ei retting for den eine fordi den andre er i nyheitene, er måten ein gjennomgang skaper rørsle utan dekning.

Andre steg: sjå på unntaket for lokal tilgang

Dei fleste klientar unntek trafikk på det lokale nettet slik at skrivarar, kasting og fildeling framleis verkar medan tunnelen er oppe. Det unntaket er ei politisk avgjerd med ein tryggingskostnad: ein motstandar på same nett kan presentere seg som lokal vert, og trafikken som når han, har aldri vore inne i tunnelen.

Spør om den utrulla profilen i det heile treng unntaket. Ein fjernarbeidsstyrke som aldri brukar lokal oppdaging, kan ofte slå det av, og dei attverande lokale tenestene kan ein nå via ein dokumentert veg. Der unntaket er nødvendig, oppgje kva destinasjonar det dekkjer i staden for å skildre det som lokal trafikk.

Kontrollen er eit konfigurasjonsspørsmål, ikkje ein pakkefangst. Les profilinnstillinga og klientdokumentasjonen for versjonen du rullar ut, fordi standardverdien er ulik mellom produkt og mellom versjonar av same produkt. Skriv svaret ved sida av profilen, slik at neste kontrollør ikkje må utleie det frå åtferd. Eit unntak ingen har dokumentert, er eit unntak ingen går gjennom.

Tredje steg: sjå på korleis tenaradressa blir lærd

Klienten må nå VPN-tenaren før nokon tunnel finst, så den destinasjonen blir ruta utanfor tunnelen av design. Viss adressa blir lærd frå eit namn, er oppslaget ein del av tillitsvegen, og ein motstandar som kan svare på den førespurnaden, kan peike klienten mot ein vert han kontrollerer.

Å feste adressa, bruke eit stadfesta sertifikat med rett namn og nekte å falle tilbake til ein ikkje-stadfesta tenar reduserer alle eksponeringa. Ingen av dei fjernar behovet for å nå tenaren utanfor tunnelen; dei endrar kven som kan svare for den adressa.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Ruteoppslaget viser grensesnittet klienten ville brukt for tenaradressa, og det er unntaket i konkret form. Viss oppslaget returnerer tunnellgrensesnittet, kan klienten ikkje ein gong etablere tunnelen, så ei ytre rute er venta, og spørsmålet er berre korleis destinasjonen hennar blir vald.

Fjerde steg: sjå på rutene som DHCP leverer

Klasselause statiske ruter lèt ein DHCP-tenar dele ut oppføringar i rutetabellen, og endepunktet godtek dei vanlegvis utan å spørje. På eit nett der ein motstandar kan svare på DHCP raskare enn den legitime tenaren, kan desse oppføringane omdirigere trafikk som brukaren trur er inne i tunnelen.

Samanlikn rutene på endepunktet med rutene du ventar. Ei standardrute eller eit breitt prefiks som peikar mot den lokale gatewayen medan tunnelen er oppe, er signaturen som er verdt å undersøkje, og han er synleg utan nokon åtakstrafikk.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Den siste innstillinga er styringa på endepunktsida som mange klientar og plattformar eksponerer i ei eller anna form: ignorer ruter som nettet leverer. Å slå av automatisk ruteaksept er ei avveging, fordi det òg slår av legitim delt rutering frå ein bedrifts-DHCP-tenar, så avgjer det per nettklasse og ikkje globalt.

Femte steg: skil varselet frå gjeldande versjon

Eit publisert åtak skildrar åtferd observert på bestemte klientversjonar på eit bestemt tidspunkt. Det fastslår ikkje at laptopen framfor deg er påverka, og det fastslår ikkje at han er retta. Begge påstandane krev det faktiske byggnummeret og gjeldande varsel frå leverandøren.

Noter klientversjonen, plattforma, profilinnstillingane som styrer unntaka ovanfor, og datoen du kontrollerte. Den registreringa eldast ærleg, medan eit notat om at VPN-en vart lappa mot TunnelCrack, ikkje gjer det. Les det på nytt kvar gong klienten blir oppdatert, fordi ein profilsstandard kan endre seg under ein versjon du ikkje har rørt.

Når du faktisk validerer, bruk ein godkjend plan mot ditt eige endepunkt og ein ufarleg destinasjon. Å gjenskape åtaket mot andre brukarar på eit delt nett er ikkje ein test, og å slå av peer-stadfesting eller applikasjonskryptering for å gjere ei observasjon enklare, fjernar vernet du prøvde å måle.

Til slutt, hald vern på applikasjonsnivå i biletet. Eit rutingsunntak kan eksponere trafikk som tunnelen ville bore, og TLS i applikasjonen vernar framleis den trafikken ende til ende. Dei to laga feilar uavhengig, og difor er ein tilkopla kontrollkanal ikkje prov på at kvar straum tok den tiltenkte vegen.