ਤੁਹਾਡਾ VPN ਗੇਟਵੇ ਸਮਝੌਤੇ ਹੇਠ ਹੈ: ਅਸਲ ਵਿੱਚ ਕੀ ਖੁੱਲ੍ਹਾ ਹੈ
ਹੈਕ ਕੀਤਾ VPN ਗੇਟਵੇ ਆਪਣੀ ਹੀ ਟਨਲ ਦੇ ਅੰਦਰ ਦੇਖਦਾ ਹੈ, ਪਰ ਇਸ ਦਾ ਮਤਲਬ ਹਰ ਸੈਸ਼ਨ 'ਤੇ ਕਬਜ਼ਾ ਨਹੀਂ। ਬਹਾਲੀ ਤੋਂ ਪਹਿਲਾਂ ਟ੍ਰੈਫਿਕ, ਪਹੁੰਚ ਅਤੇ ਸੰਭਾਲੇ ਭੇਤ ਵੱਖ ਕਰੋ।
VPN ਗੇਟਵੇ ਉਸ ਟਨਲ ਦੇ ਅੰਤ 'ਤੇ ਬੈਠਦਾ ਹੈ ਜਿਸਦੀ ਉਹ ਰਾਖੀ ਕਰਦਾ ਹੈ, ਭਾਵ ਉਹ ਉਸ ਐਨਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਖਤਮ ਕਰਦਾ ਹੈ, ਅੱਗੇ ਨਹੀਂ ਭੇਜਦਾ। ਜੇ ਕੋਈ ਹਮਲਾਵਰ ਹੋਸਟ ਨੂੰ ਕੰਟਰੋਲ ਕਰਦਾ ਹੈ, ਤਾਂ ਟਨਲ ਬਾਹਰੋਂ ਸਿਹਤਮੰਦ ਦਿਸਦੀ ਰਹਿੰਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਵਿਚਕਾਰਲੀ ਮਸ਼ੀਨ ਹੁਣ ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਹੈ। ਲਾਹੇਵੰਦ ਸਵਾਲ ਇਹ ਨਹੀਂ ਕਿ ਸਭ ਕੁਝ ਡੀਕ੍ਰਿਪਟ ਹੁੰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਉਹ ਹੋਸਟ ਕੀ ਦੇਖ ਸਕਦਾ ਸੀ, ਕਿੱਥੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਸੀ, ਅਤੇ ਕਿਹੜੇ ਭੇਤ ਅਸਲ ਵਿੱਚ ਉਸ 'ਤੇ ਸੰਭਾਲੇ ਹੋਏ ਸਨ। ਇਹ ਤਿੰਨ ਜਵਾਬ ਬਹੁਤ ਵੱਖਰੇ ਹਨ, ਅਤੇ ਪ੍ਰਤੀਕਿਰਿਆ ਵੀ ਉਨ੍ਹਾਂ ਨਾਲ ਵੱਖਰੀ ਹੁੰਦੀ ਹੈ।
ਗੇਟਵੇ ਟਨਲ ਖਤਮ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਅੰਦਰ ਦੇਖਦਾ ਹੈ
VPN ਵਿੱਚ ਐਨਕ੍ਰਿਪਸ਼ਨ ਹੌਪ ਦਰ ਹੌਪ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਗੇਟਵੇ ਉਹ ਹੌਪ ਹੈ। ਉਹ ਬਾਹਰੀ ਪਰਤ ਲਾਹੁੰਦਾ ਹੈ, ਨੀਤੀ ਲਾਗੂ ਕਰਦਾ ਹੈ ਅਤੇ ਅੰਦਰਲਾ ਪੈਕੇਟ ਅੱਗੇ ਭੇਜਦਾ ਹੈ, ਇਸ ਲਈ ਹਰ ਢੋਇਆ ਪੈਕੇਟ ਕਿਸੇ ਸਮੇਂ ਉਸ ਹੋਸਟ ਦੀ ਮੈਮੋਰੀ ਵਿੱਚ ਪੜ੍ਹਨਯੋਗ ਰੂਪ ਵਿੱਚ ਮੌਜੂਦ ਹੁੰਦਾ ਹੈ। ਇਹ ਖਾਮੀ ਨਹੀਂ, ਡਿਜ਼ਾਈਨ ਹੈ। ਇਸੇ ਲਈ ਗੇਟਵੇ ਦਾ ਸਮਝੌਤਾ ਟਨਲ ਦੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਦੇ ਸਮਝੌਤੇ ਤੋਂ ਵੱਖਰੀ ਘਟਨਾ ਹੈ।
ਹਮਲਾਵਰ ਪਹਿਲਾਂ ਜੋ ਪਾਉਂਦਾ ਹੈ ਉਹ ਥਾਂ ਹੈ: ਢੋਏ ਟ੍ਰੈਫਿਕ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨ, ਭੇਜਣ ਦਾ ਢੰਗ ਬਦਲਣ, ਜਾਂ ਬੈਕਐਂਡ ਦੀ ਥਾਂ ਜਵਾਬ ਦੇਣ ਦੀ ਸਮਰੱਥਾ। ਅੱਗੇ ਉਹ ਕੀ ਪਾਉਂਦਾ ਹੈ ਇਹ ਹੋਸਟ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਇੱਥੇ ਲੋਕ ਵੱਧ ਅੰਦਾਜ਼ਾ ਲਾਉਂਦੇ ਹਨ। ਸਿਰਫ ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚ ਬ੍ਰਾਊਜ਼ਰ ਦੀਆਂ TLS ਸੈਸ਼ਨ ਚਾਬੀਆਂ ਨਹੀਂ ਦਿੰਦੀ, ਕਿਉਂਕਿ ਉਹ ਕਦੇ ਗੇਟਵੇ 'ਤੇ ਨਹੀਂ ਸਨ।
ਇੱਕੋ ਜਿਹੇ ਆਕਾਰ ਦੀਆਂ ਨਾ ਹੋਣ ਵਾਲੀਆਂ ਤਿੰਨ ਖੁੱਲ੍ਹਾਂ
ਸਵਾਲ ਨੂੰ ਢੋਏ ਟ੍ਰੈਫਿਕ, ਪਹੁੰਚਯੋਗ ਸਿਸਟਮ ਅਤੇ ਸੰਭਾਲੇ ਭੇਤਾਂ ਵਿੱਚ ਵੰਡੋ, ਫਿਰ ਹਰੇਕ ਦਾ ਵੱਖਰਾ ਜਵਾਬ ਦਿਓ।
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
ਵਿਚਕਾਰਲੀ ਕਤਾਰ ਹੀ ਛੱਡੀ ਜਾਂਦੀ ਹੈ। ਗੇਟਵੇ ਕੋਲ ਆਮ ਤੌਰ 'ਤੇ ਨਿੱਜੀ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਰਸਤਾ ਅਤੇ ਅਜਿਹਾ ਸਰੋਤ ਪਤਾ ਹੁੰਦਾ ਹੈ ਜਿਸ 'ਤੇ ਬੈਕਐਂਡ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਦਿਲਚਸਪ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਉਹ ਬੈਕਐਂਡ ਉਸ ਪਤੇ ਤੋਂ ਕੀ ਮਨਜ਼ੂਰ ਕਰਦੇ ਹਨ। ਸੰਕਰਾ ਕਲਾਇੰਟ-ਪਹੁੰਚ ਨੀਤੀ ਚੰਗਾ ਨਿਯੰਤਰਣ ਹੈ, ਪਰ ਹੋਸਟ 'ਤੇ ਮੌਜੂਦ ਹਮਲਾਵਰ ਆਮ ਕਲਾਇੰਟ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਇੰਟਰਫੇਸ ਤੱਕ ਸੀਮਤ ਨਹੀਂ।
ਹੇਠਲੀ ਕਤਾਰ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਘਟਨਾ ਕਿੰਨੀ ਦੇਰ ਚੱਲੇਗੀ। ਸਰਵਰ ਚਾਬੀ ਅਤੇ CA ਚਾਬੀ ਦਾ ਪ੍ਰਭਾਵ ਘੇਰਾ ਬਿਲਕੁਲ ਵੱਖਰਾ ਹੈ, ਅਤੇ ਇਸੇ ਤਰ੍ਹਾਂ ਸਥਾਨਕ ਐਡਮਿਨ ਖਾਤਾ ਅਤੇ ਸਿਰਫ-ਪੜ੍ਹਨ ਵਾਲਾ ਨਿਗਰਾਨੀ ਟੋਕਨ।
ਟਨਲ ਦੇ ਅੰਦਰਲਾ HTTPS ਅਜੇ ਵੀ HTTPS ਹੈ
ਐਪਲੀਕੇਸ਼ਨ ਦਾ TLS ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਖਤਮ ਹੁੰਦਾ ਹੈ, VPN ਗੇਟਵੇ 'ਤੇ ਨਹੀਂ, ਇਸ ਲਈ ਸਮਝੌਤੇ ਵਾਲਾ ਗੇਟਵੇ ਉਨ੍ਹਾਂ ਪ੍ਰਵਾਹਾਂ ਲਈ ਸਿਰਫ ਸਾਈਫਰਟੈਕਸਟ ਦੇਖਦਾ ਹੈ। ਇਹ ਹਮਲਾਵਰ ਨੂੰ ਜੋ ਮਿਲਦਾ ਹੈ ਉਸ ਦੀ ਅਸਲ ਸੀਮਾ ਹੈ, ਅਤੇ ਇਹ ਸਪੱਸ਼ਟ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਉਲਟਾ ਦਾਅਵਾ ਡਰ ਅਤੇ ਮਾੜੇ ਫੈਸਲੇ ਫੈਲਾਉਂਦਾ ਹੈ। ਦੋ ਸ਼ਰਤਾਂ ਇਸ ਨੂੰ ਤੋੜਦੀਆਂ ਹਨ। ਜੇ ਰਸਤੇ ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ ਜਾਂਚ ਭਾਗ ਹੋਵੇ, ਤਾਂ ਗੇਟਵੇ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਸਾਦਾ ਟੈਕਸਟ ਦੇਖ ਸਕਦਾ ਹੈ। ਜੇ ਐਪਲੀਕੇਸ਼ਨ ਦਾ ਅੰਤ ਬਿੰਦੂ ਖੁਦ ਸਮਝੌਤੇ ਹੇਠ ਹੋਵੇ, ਤਾਂ ਟਨਲ ਢੁਕਵੀਂ ਨਹੀਂ।
ਇਸ ਲਈ ਉਨ੍ਹਾਂ ਨੇ ਕੀ ਦੇਖਿਆ ਇਸ ਦਾ ਜਵਾਬ ਸ਼ਰਤੀ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਫੈਸਲਾ ਘੋਸ਼ਿਤ ਕਰਨ ਦੀ ਥਾਂ ਸ਼ਰਤਾਂ ਵਜੋਂ ਲਿਖਣਾ ਚਾਹੀਦਾ ਹੈ।
ਦੁਬਾਰਾ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕੀ ਬਦਲਣਾ ਚਾਹੀਦਾ ਹੈ
ਹੋਸਟ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਜ਼ਰੂਰੀ ਹੈ ਅਤੇ ਘੱਟ ਹੀ ਕਾਫੀ ਹੁੰਦਾ ਹੈ। ਜਿਸ ਹਮਲਾਵਰ ਕੋਲ ਅਜੇ ਵੀ ਪ੍ਰਬੰਧਨ ਖਾਤਾ, ਤੈਨਾਤੀ ਪ੍ਰਮਾਣ ਜਾਂ ਦਸਤਖਤ ਚਾਬੀ ਹੈ ਉਹ ਹੋਸਟ ਨੂੰ ਆਪਣੀ ਮਰਜ਼ੀ ਨਾਲ ਵਾਪਸ ਲਿਆ ਸਕਦਾ ਹੈ। ਬਹਾਲੀ ਇਸ ਤਰ੍ਹਾਂ ਦੇ ਪ੍ਰਬੰਧਕੀ ਰਸਤੇ ਤੋਂ ਸ਼ੁਰੂ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਸਮਝੌਤੇ ਵਾਲੀ ਮਸ਼ੀਨ 'ਤੇ ਨਿਰਭਰ ਨਾ ਹੋਵੇ।
ਕੀ ਬਦਲਣਾ ਹੈ ਤੈਅ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸੂਚੀ ਬਣਾਓ ਕਿ ਉਸ 'ਤੇ ਕੀ ਸੀ। ਚਾਬੀਆਂ, ਸੇਵਾ ਖਾਤੇ, API ਟੋਕਨ, ਸਥਾਨਕ ਵਰਤੋਂਕਾਰ, ਨਿਯਤ ਕੰਮ, ਭਰੋਸਾ ਸੰਬੰਧ ਅਤੇ ਤੈਨਾਤੀ ਪਾਈਪਲਾਈਨ ਸਭ ਉਮੀਦਵਾਰ ਹਨ, ਅਤੇ ਹਰੇਕ ਦਾ ਇੱਕ ਮਾਲਕ ਹੈ ਜਿਸ ਨੂੰ ਇਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।
ss -lntup
getent passwd
crontab -l
ip route show table allਉਹ ਸੂਚੀ ਇਹ ਦੇਖਣ ਦਾ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ ਕਿ ਹੋਸਟ ਕੀ ਦੇ ਰਿਹਾ ਸੀ ਅਤੇ ਕਿੱਥੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਸੀ। ਪਹਿਲਾਂ ਸਬੂਤ ਸੰਭਾਲੋ, ਪ੍ਰਤੀਕਿਰਿਆ ਮਾਲਕ ਦੀ ਪ੍ਰਕਿਰਿਆ ਅਨੁਸਾਰ, ਕਿਉਂਕਿ ਦੁਬਾਰਾ ਨਿਰਮਾਣ ਉਹੀ ਚੀਜ਼ ਨਸ਼ਟ ਕਰਦਾ ਹੈ ਜੋ ਜਾਂਚ ਨੂੰ ਚਾਹੀਦੀ ਹੈ। NIST SP 800-61 ਸੰਸ਼ੋਧਨ 3 ਤਿਆਰੀ, ਖੋਜ, ਪ੍ਰਤੀਕਿਰਿਆ ਅਤੇ ਬਹਾਲੀ ਨੂੰ ਰੀਸਟਾਰਟ ਨਿਰਦੇਸ਼ ਦੀ ਥਾਂ ਇੱਕੋ ਜੋਖਮ ਪ੍ਰਕਿਰਿਆ ਦੇ ਭਾਗ ਮੰਨਦਾ ਹੈ।
ਅਗਲੀ ਘਟਨਾ ਨੂੰ ਸਸਤਾ ਕਰਨ ਵਾਲੀਆਂ ਸੀਮਾਵਾਂ
ਚਾਰ ਸੀਮਾਵਾਂ ਲੋੜ ਪੈਣ ਤੋਂ ਪਹਿਲਾਂ ਬਣਾਉਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ। ਗੇਟਵੇ ਰਾਹੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਨਾ ਕਰਨ ਵਾਲਾ ਸੁਤੰਤਰ ਬਹਾਲੀ ਰਸਤਾ ਰੱਖੋ। ਦਸਤਖਤ ਅਧਿਕਾਰ ਟ੍ਰੈਫਿਕ ਸੇਵਾ ਦੇਣ ਵਾਲੇ ਹੋਸਟ ਤੋਂ ਵੱਖ ਰੱਖੋ। ਗੇਟਵੇ ਕਿੱਥੇ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਸੀਮਤ ਕਰੋ, ਤਾਂ ਜੋ ਸਮਝੌਤੇ ਵਾਲਾ ਗੇਟਵੇ ਆਪਣੇ ਆਪ ਸਮਝੌਤੇ ਵਾਲਾ ਪ੍ਰਬੰਧਨ ਨੈੱਟਵਰਕ ਨਾ ਬਣੇ। ਅਤੇ ਲਿਖੋ ਕਿ ਹਰ ਪ੍ਰਮਾਣ ਕਿਸ ਦਾ ਹੈ, ਤਾਂ ਜੋ ਬਦਲਣਾ ਪੁਰਾਤੱਤਵ ਪ੍ਰੋਜੈਕਟ ਨਹੀਂ, ਇੱਕ ਫ਼ੋਨ ਕਾਲ ਹੋਵੇ।
ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸਮਝੌਤੇ ਨੂੰ ਨਹੀਂ ਰੋਕਦਾ। ਇਹ ਇਸ ਨੂੰ ਸੀਮਤ ਕਰਦੇ ਹਨ, ਅਤੇ ਮਾੜੇ ਹਫ਼ਤੇ ਅਤੇ ਮਾੜੀ ਤਿਮਾਹੀ ਵਿਚਕਾਰ ਫ਼ਰਕ ਬਣਾਉਂਦੇ ਹਨ।