ستاسو VPN دروازه په خطر کې ده: په رېښتیا کې څه راښکاره شوي
هک شوې VPN دروازه د خپل تونل دننه ګوري، مګر دا هرې ناستې ته لاسرسی نه دی. د بیا رغولو دمخه ترافیک، لاسرسی او ساتل شوي رازونه جلا کړئ.
VPN دروازه د هغه تونل په پای کې ده چې ساتنه یې کوي، یعنې دا هغه کوډګری توقفوي، نه یې پرېږدي چې تېر شي۔ که بریدګر هوسټ کنټرولوي، تونل له بهره روغ ښکاري، خو په منځ کې ماشین نور د باور وړ نه دی۔ ګټوره پوښتنه دا نه ده چې ایا هر څه ډیکوډ کیږي۔ پوښتنه دا ده چې هغه هوسټ څه لیدلی شو، چېرته رسیدلی شو، او کوم رازونه په رېښتیا پر هغه ساتل شوي وو۔ دا درې ځوابونه ډېر توپیر لري، او غبرګون هم له هغوی سره توپیر لري.
دروازه تونل پای ته رسوي، نو ځکه دننه ګوري
په VPN کې کوډګری د هر ټوپ له مخې ترسره کیږي، او دروازه هغه ټوپ دی۔ دا بهرنی پوښ لره کوي، تګلاره پلي کوي او داخلي پیکټ مخته وړي، نو هر لېږدول شوی پیکټ په یو وخت کې د هغه هوسټ په حافظه کې لوستل کیدونکې بڼه لري۔ دا نیمګړتیا نه ده، ډیزاین دی۔ له همدې کبله د دروازې خطر د تونل د کوډګرۍ له خطر څخه بېله پېښه ده.
لومړی څه چې بریدګر ترلاسه کوي هغه ځای دی: د لېږدول شوي ترافیک د کتنې، د مخته وړلو د بدلون، یا د بیک انډ پر ځای د ځواب ورکولو وړتیا۔ بیا څه ترلاسه کوي په هوسټ پورې اړه لري، او دلته خلک ډېر اټکل کوي۔ یوازې دروازې ته لاسرسی د براوزر TLS ناستې کیلي نه درکوي، ځکه هغه هېڅکله پر دروازه نه وې.
درې راښکاره کېدل چې یو شان نه دي
پوښتنه په لېږدول شوي ترافیک، د رسیدو وړ سیستمونو او ساتل شوو رازونو ووېشئ، بیا هر یو ته بېل ځواب ورکړئ.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
منځنۍ کرښه هغه ده چې پرېښودل کیږي۔ دروازه معمولاً خصوصي شبکو ته لاره او داسې سرچینه لري چې بیک انډونه پرې باور لري، نو زړه پورې پوښتنه دا ده چې هغه بیک انډونه له هغه پتې څه اجازه ورکوي۔ تنګ د کړکۍ لاسرسي تګلاره ښه کنټرول دی، خو پر هوسټ بریدګر یوازې هغه انټرفیس ته محدود نه دی چې نورمال کړکۍ به یې کاروي.
لاندنۍ کرښه ټاکي چې پېښه څومره دوام کوي۔ د سرور کیلي او د CA کیلي بشپړ توپیر لري، او همدارنګه سیمه ایز اډمین حساب او یوازې لوستلو مانیټورینګ ټوکن.
د تونل دننه HTTPS لا هم HTTPS دی
د اپلیکیشن TLS په اپلیکیشن کې پای ته رسي، نه پر VPN دروازه، نو خطر لرونکې دروازه د هغو جریانونو لپاره یوازې کوډ شوی متن ګوري۔ دا د بریدګر د ترلاسه کولو یوه ریښتینې پوله ده، او ښه ده چې په روښانه توګه وویل شي، ځکه مخالف ادعا ویر او بد پرېکړې خپروي۔ دوه شرطونه دا ماتوي۔ که په لاره کې د باور وړ سند لرونکی کتنې برخه وي، دروازه کیدای شي د ډیزاین له مخې روښانه متن وویني۔ که د اپلیکیشن پای ټکی پخپله خطر لرونکی وي، تونل بې ربطه دی.
نو د هغوی د لیدلو ځواب شرطي دی، او باید د حکم په توګه اعلان نه شي، بلکې د شرطونو په توګه ولیکل شي.
د بیا باور کولو دمخه څه باید بدل شي
هوسټ بیا جوړول اړین دي او کم پوره وي۔ هغه بریدګر چې لا هم د مدیریت حساب، د ځای پرځای کولو اعتبار یا د لاسلیک کیلي لري، کولای شي هوسټ خپل خوښې ته برابر کړي۔ بیا رغول باید له هغه اداري لارې پیل شي چې خطر لرونکي ماشین ته اړه نه وي.
د دې دمخه چې پریکړه وکړئ کوم څه باید وګرځول شي، لیست کړئ چې پر هغه څه وو۔ کیلي، د خدمت حسابونه، API ټوکنونه، سیمه ایز کاروونکي، ټاکل شوې دندې، د باور اړیکې او د ځای پرځای کولو پایپ لاین ټول نوماندان دي، او هر یو مالک لري چې باید یې تایید کړي.
ss -lntup
getent passwd
crontab -l
ip route show table allهغه لیست ترټولو ژر لاره ده چې وګورئ هوسټ څه وړاندې کول او چېرته رسیدلی شو۔ لومړی شواهد وساتئ، د غبرګون مالک د بهیر له مخې، ځکه بیا جوړول هغه څه له منځه وړي چې څیړنې ته ورته اړتیا ده۔ NIST SP 800-61 3مه بیاکتنه تیاری، کشف، غبرګون او بیا رغول د یوې خطر پروسې برخې ګڼي، نه د بیا پیل کولو لارښود.
هغه پولې چې بل پېښه ارزانه کوي
څلور پولې د اړتیا دمخه جوړول ښه دي۔ یوه خپلواکه بیا رغولو لاره وساتئ چې د دروازې له لارې تصدیق نه کوي۔ د لاسلیک واک له هغه هوسټ څخه بېل وساتئ چې ترافیک خدمت کوي۔ محدود کړئ چې دروازه چېرته رسیږي، تر څو خطر لرونکې دروازه په اتوماتيک ډول خطر لرونکې مدیریت شبکه نه شي۔ او ولیکئ چې هر اعتبار چا لره دی، تر څو ګرځول د لرغونپوهنې پروژې پر ځای یو تلیفوني زنګ وي.
له دې څخه هیڅ یو هم خطر نه بندوي۔ هغوی یې محدودوي، او د بدې اونۍ او بدې ربعې تر منځ توپیر جوړوي.