TunnelCrack nasuprot TunnelVision: šta svaki od njih zapravo lomi

Dva istraživačka imena koriste se naizmjenično za svaki VPN saobraćaj koji napusti tunel, a mehanizmi iza njih nisu isti. TunnelCrack opisuje dvije porodice izuzetaka u rutiranju; TunnelVision opisuje rutu koju DHCP dostavlja na krajnjem uređaju. Nijedan ne razbija enkripciju i nijedan vam ne kaže šta konkretna verzija klijenta radi danas. Pet provjera razdvaja mehanizme od naslova.

Prvi korak: imenujte mehanizam koji pregledate

TunnelCrack objava iz augusta 2023. opisuje dvije porodice napada. U slučaju lokalne mreže, saobraćaj koji klijent smatra dijelom lokalne mreže dobija izuzetak za lokalni pristup i napušta tunel. U slučaju adrese servera, ruta koja klijentu treba da bi dosegao sam VPN server nalazi se izvan tunela, a protivnik koji kontroliše tu adresu može iskoristiti izuzetak.

TunnelVision je poseban izvještaj o besklasnim statičkim rutama koje dostavlja DHCP. Zlonamjerni DHCP server može krajnjem uređaju dodijeliti rute koje mijenjaju putanju saobraćaja, uključujući putanju prema VPN serveru. Izvještaj priznaje raniji rad na povezanim efektima rutiranja, što podsjeća da je osnovni mehanizam stariji od imena.

Držite imena vezana za njihove mehanizme. Primjena popravke za jedan zato što je drugi u vijestima jeste način na koji pregled stvara kretanje bez pokrivenosti.

Drugi korak: pogledajte izuzetak za lokalni pristup

Većina klijenata izuzima saobraćaj lokalne mreže kako bi štampači, prenošenje slike i dijeljenje datoteka nastavili raditi dok je tunel aktivan. Taj izuzetak je politička odluka s cijenom po sigurnost: protivnik na istoj mreži može se predstaviti kao lokalni host, a saobraćaj koji do njega stigne nikada nije ušao u tunel.

Pitajte da li raspoređenom profilu izuzetak uopšte treba. Radna snaga na daljinu koja nikada ne koristi lokalno otkrivanje često ga može isključiti, a preostale lokalne usluge mogu se dosegnuti dokumentovanom putanjom. Gdje je izuzetak potreban, navedite koje destinacije pokriva umjesto da ga opisujete kao lokalni saobraćaj.

Provjera je pitanje konfiguracije, ne hvatanja paketa. Pročitajte postavku profila i dokumentaciju klijenta za verziju koju raspoređujete, jer se zadana vrijednost razlikuje između proizvoda i između verzija istog proizvoda. Napišite odgovor uz profil, da sljedeći pregledalac ne bi morao da ga izvede iz ponašanja. Izuzetak koji niko nije dokumentovao jeste izuzetak koji niko ne pregleda.

Treći korak: pogledajte kako se saznaje adresa servera

Klijent mora dosegnuti VPN server prije nego što ikakav tunel postoji, pa se ta destinacija po dizajnu rutira izvan tunela. Ako se adresa saznaje iz imena, korak razrješavanja dio je puta povjerenja, a protivnik koji može odgovoriti na taj upit može usmjeriti klijent na host koji kontroliše.

Fiksiranje adrese, korištenje provjerenog certifikata s ispravnim imenom i odbijanje povratka na neprovjereni server sve smanjuju izloženost. Nijedno od toga ne uklanja potrebu da se server dosegne izvan tunela; ona mijenjaju ko može odgovarati za tu adresu.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Traženje rute pokazuje interfejs koji bi klijent koristio za adresu servera, što je izuzetak u konkretnom obliku. Ako to traženje vrati interfejs tunela, klijent uopšte ne može uspostaviti tunel, pa se vanjska ruta očekuje i pitanje je samo kako se bira njena destinacija.

Četvrti korak: pogledajte rute koje dostavlja DHCP

Besklasne statičke rute omogućavaju DHCP serveru da dijeli zapise tabele rutiranja, a krajnji uređaj ih obično prihvata bez pitanja. Na mreži na kojoj protivnik može odgovoriti na DHCP brže od legitimnog servera, ti zapisi mogu preusmjeriti saobraćaj za koji korisnik vjeruje da je unutar tunela.

Uporedite rute na krajnjem uređaju s rutama koje očekujete. Zadana ruta ili široki prefiks koji pokazuje na lokalni gejtvej dok je tunel aktivan jeste potpis koji vrijedi istražiti, i vidljiv je bez ikakvog napadačkog saobraćaja.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Posljednja postavka je kontrola na strani krajnjeg uređaja koju mnogi klijenti i platforme izlažu u nekom obliku: ignorisanje ruta koje dostavlja mreža. Isključivanje automatskog prihvatanja ruta je kompromis, jer isključuje i legitimno podijeljeno rutiranje s korporativnog DHCP servera, pa to odlučite po klasi mreže, a ne globalno.

Peti korak: razdvojite obavještenje od trenutne verzije

Objavljeni napad opisuje ponašanje primijećeno na određenim verzijama klijenta u određeno vrijeme. On ne dokazuje da je laptop pred vama pogođen i ne dokazuje da je popravljen. Obje tvrdnje traže stvarni broj verzije i aktuelno obavještenje proizvođača.

Zabilježite verziju klijenta, platformu, postavke profila koje upravljaju gore navedenim izuzecima i datum kada ste provjerili. Taj zapis stari iskreno, a bilješka da je VPN zakrpljen zbog TunnelCrack ne stari iskreno. Ponovo ga pročitajte pri svakom ažuriranju klijenta, jer se zadana vrijednost profila može promijeniti pod verzijom koju niste dirali.

Kada zaista provjeravate, koristite odobren plan protiv vlastitog krajnjeg uređaja i bezopasne destinacije. Reprodukovanje napada protiv drugih korisnika na dijeljenoj mreži nije test, a isključivanje provjere partnera ili enkripcije aplikacije da biste olakšali opažanje uklanja zaštitu koju ste pokušavali izmjeriti.

Na kraju, držite zaštitu na razini aplikacije u slici. Izuzetak u rutiranju može izložiti saobraćaj koji bi tunel nosio, a TLS u aplikaciji i dalje štiti taj saobraćaj od kraja do kraja. Dva sloja otkazuju nezavisno, zato povezan kontrolni kanal nije dokaz da je svaki tok krenuo predviđenom putanjom.