O seu gateway VPN está comprometido: o que está realmente exposto

Um gateway VPN fica na extremidade do túnel que protege, o que significa que termina essa encriptação em vez de a deixar passar. Se um atacante controla o host, o túnel continua a parecer saudável do exterior enquanto a máquina no meio já não é fiável. A pergunta útil não é se tudo é desencriptado. É o que aquele host podia ver, até onde podia chegar e que segredos estavam realmente armazenados nele. Essas três respostas diferem muito, e a resposta difere com elas.

O gateway termina o túnel, por isso vê lá dentro

A encriptação numa VPN é salto a salto, e o gateway é o salto. Remove a camada exterior, aplica a política e reencaminha o pacote interior, pelo que cada pacote transportado existe em forma legível na memória desse host em algum momento. Isso é o desenho e não um defeito. É também por isso que o comprometimento do gateway é um evento diferente do comprometimento da criptografia do túnel.

O que o atacante ganha primeiro é posição: a capacidade de observar o tráfego transportado, alterar o reencaminhamento ou responder em vez de um backend. O que ganha a seguir depende do host, e é aqui que as pessoas sobrestimam. O acesso ao gateway por si só não entrega as chaves de sessão TLS de um navegador, porque nunca estiveram no gateway.

Três exposições que não têm o mesmo tamanho

Divida a pergunta em tráfego transportado, sistemas alcançáveis e segredos armazenados, e depois responda a cada uma separadamente.

A linha do meio é a que é ignorada. Um gateway tem normalmente uma rota para redes privadas e um endereço de origem em que os backends já confiam, pelo que a pergunta interessante é o que esses backends permitem a partir desse endereço. Uma política estreita de acesso de clientes é um bom controlo, mas um atacante no host não está limitado à interface que um cliente normal usaria.

A linha de baixo decide quanto dura o incidente. Uma chave de servidor e uma chave de CA têm raios de impacto completamente diferentes, e o mesmo acontece com uma conta de administrador local e um token de monitorização só de leitura.

HTTPS dentro do túnel continua a ser HTTPS

O TLS da aplicação termina na aplicação, não no gateway VPN, pelo que um gateway comprometido observa texto cifrado para esses fluxos. Esse é um limite real ao que o atacante obtém, e vale a pena dizê-lo claramente, porque a afirmação contrária espalha pânico e más decisões. Duas condições quebram isso. Se houver um componente de inspeção com um certificado de confiança no caminho, o gateway pode ver texto simples por desenho. Se o próprio ponto final da aplicação estiver comprometido, o túnel é irrelevante.

Portanto, a resposta ao que viram é condicional, e deve ser escrita como condições em vez de anunciada como veredicto.

O que tem de mudar antes de voltar a confiar nele

Reconstruir o host é necessário e raramente suficiente. Um atacante que ainda detém uma conta de gestão, uma credencial de implementação ou uma chave de assinatura pode repor o host como quiser. A recuperação deve começar por um caminho administrativo que não dependa da máquina comprometida.

Inventarie o que estava nele antes de decidir o que rodar. Chaves, contas de serviço, tokens de API, utilizadores locais, tarefas agendadas, relações de confiança e a pipeline de implementação são todos candidatos, e cada um tem um proprietário que o deve confirmar.

ss -lntup
getent passwd
crontab -l
ip route show table all

Essa lista é a forma mais rápida de ver o que o host oferecia e até onde podia chegar. Preserve primeiro as provas, segundo o processo do responsável pela resposta, porque uma reconstrução destrói exatamente o que uma investigação precisa. O NIST SP 800-61 Revisão 3 trata a preparação, a deteção, a resposta e a recuperação como partes de um único processo de risco, e não como uma instrução de reinício.

Fronteiras que tornam a próxima mais barata

Vale a pena construir quatro fronteiras antes de precisar delas. Mantenha um caminho de recuperação independente que não se autentique através do gateway. Mantenha a autoridade de assinatura separada do host que serve tráfego. Limite até onde o gateway pode chegar, para que um gateway comprometido não seja automaticamente uma rede de gestão comprometida. E registe quem é dono de cada credencial, para que a rotação seja um telefonema em vez de um projeto de arqueologia.

Nenhuma destas impede o comprometimento. Delimitam-no, e fazem a diferença entre uma semana má e um trimestre mau.