VPN-gatewayen din er kompromittert: kva som faktisk er eksponert

Ein VPN-gateway står ved enden av tunnelen han vernar, noko som tyder at han avsluttar krypteringa i staden for å sleppe ho gjennom. Viss ein åtakar kontrollerer verten, ser tunnelen framleis sunn ut utanfrå medan maskinen i midten ikkje lenger er til å stole på. Det nyttige spørsmålet er ikkje om alt blir dekryptert. Det er kva den verten kunne sjå, kvar han kunne nå, og kva løyndomar som faktisk var lagra på han. Dei tre svara er svært ulike, og responsen er ulik med dei.

Gatewayen avsluttar tunnelen, så han ser inn i han

Kryptering i ein VPN går hopp for hopp, og gatewayen er hoppet. Han fjernar det ytre laget, brukar policy og videresender den indre pakken, så kvar transportert pakke finst på eit tidspunkt i leseleg form i minnet til den verten. Det er designet, ikkje ein feil. Det er også grunnen til at kompromittering av gatewayen er ei anna hending enn kompromittering av kryptografien til tunnelen.

Det åtakaren først vinn er posisjon: evna til å observere transportert trafikk, endre videresending eller svare i staden for ein backend. Kva dei vinn deretter kjem an på verten, og det er her folk overvurderer. Tilgang til gatewayen åleine gjev ikkje TLS-øktnøklane til nettlesaren, fordi dei aldri var på gatewayen.

Tre eksponeringar som ikkje er like store

Del spørsmålet i transportert trafikk, tilgjengelege system og lagra løyndomar, og svar deretter på kvar for seg.

Den midterste rada er den som blir hoppa over. Ein gateway har vanlegvis ei rute inn i private nettverk og ei kjeldeadresse som backenda allereie stolar på, så det interessante spørsmålet er kva desse backenda tillèt frå den adressa. Ein smal klienttilgangspolicy er god kontroll, men ein åtakar på verten er ikkje avgrensa til grensesnittet ein vanleg klient ville brukt.

Den nedste rada avgjer kor lenge hendinga varer. Ein servernøkkel og ein CA-nøkkel har heilt ulike verknadsradiar, og det same har ein lokal administratorkonto og eit skriveverna overvakingstoken.

HTTPS inne i tunnelen er framleis HTTPS

Applikasjons-TLS avsluttast i applikasjonen, ikkje på VPN-gatewayen, så ein kompromittert gateway observerer berre chiffertekst for desse straumane. Det er ei reell grense for kva åtakaren får, og det er verdt å seie klart, fordi den motsette påstanden spreier panikk og dårlege avgjerder. To vilkår bryt det. Viss ein inspeksjonskomponent med eit klarert sertifikat sit i vegen, kan gatewayen sjå klartekst ved design. Viss endepunktet til applikasjonen sjølv er kompromittert, er tunnelen irrelevant.

Så svaret på kva dei såg er vilkårleg, og det bør skrivast ned som vilkår i staden for å annonserast som ein dom.

Kva som må endrast før du stolar på han igjen

Å byggje opp verten på nytt er naudsynt og sjeldan tilstrekkeleg. Ein åtakar som framleis har ein administrasjonskonto, ein utrullingslegitimasjon eller ein signeringsnøkkel kan setje verten tilbake som han vil. Gjenoppretting må starte frå ein administrasjonsveg som ikkje er avhengig av den kompromitterte maskinen.

Kartlegg kva som var på han før du avgjer kva som skal roterast. Nøklar, tenestekontoar, API-token, lokale brukarar, planlagde jobbar, tillitsforhold og utrullingspipelinen er alle kandidatar, og kvar har ein eigar som bør stadfeste det.

ss -lntup
getent passwd
crontab -l
ip route show table all

Den lista er den raskaste måten å sjå kva verten baud på og kvar han kunne nå. Ta vare på bevisa først, etter prosessen til eigaren av responsen, fordi ein gjenoppbygging øydelegg nøyaktig det ei undersøking treng. NIST SP 800-61 Revisjon 3 behandlar førebuing, deteksjon, respons og gjenoppretting som delar av ein risikoprosess i staden for som ein omstartinstruks.

Grenser som gjer den neste billegare

Fire grenser er verdt å byggje før du treng dei. Hald ein uavhengig gjenopprettingsveg som ikkje autentiserer gjennom gatewayen. Hald signeringsmyndet skilt frå verten som tener trafikk. Avgrens kva gatewayen kan nå, slik at ein kompromittert gateway ikkje automatisk er eit kompromittert administrasjonsnettverk. Og registrer kven som eig kvar legitimasjon, slik at rotasjon er ein telefonsamtale i staden for eit arkeologiprosjekt.

Ingen av desse hindrar kompromittering. Dei avgrensar ho, og dei gjer skillnaden mellom ei dårleg veke og eit dårleg kvartal.