TunnelCrack verzus TunnelVision: čo naozaj láme každý z nich

Dve výskumné mená sa používajú zameniteľne pre akúkoľvek prevádzku VPN, ktorá opúšťa tunel, ale mechanizmy za nimi nie sú rovnaké. TunnelCrack opisuje dve rodiny výnimiek v smerovaní; TunnelVision opisuje trasu, ktorú dodáva DHCP na koncovom zariadení. Ani jedno neláme šifrovanie a ani jedno vám nepovie, čo dnes robí konkrétna verzia klienta. Päť kontrol oddeľuje mechanizmy od titulku.

Prvý krok: pomenujte mechanizmus, ktorý preverujete

Zverejnenie TunnelCrack z augusta 2023 opisuje dve rodiny útokov. V prípade miestnej siete dostane prevádzka, ktorú klient považuje za patriacu miestnej sieti, výnimku miestneho prístupu a opustí tunel. V prípade adresy servera je trasa, ktorú klient potrebuje na dosiahnutie samotného servera VPN, mimo tunela, a protivník, ktorý túto adresu ovláda, môže výnimku zneužiť.

TunnelVision je samostatná správa o beztriednych statických trasách dodávaných cez DHCP. Zlomyseľný server DHCP môže koncovému zariadeniu prideliť trasy, ktoré menia cestu prevádzky, vrátane cesty k serveru VPN. Správa uznáva skoršiu prácu o súvisiacich efektoch smerovania, čo pripomína, že základný mechanizmus je starší ako názov.

Držte mená pripútané k ich mechanizmom. Použiť opravu pre jedno preto, že to druhé je v správach, je spôsob, akým kontrola vytvára pohyb bez pokrytia.

Druhý krok: pozrite sa na výnimku miestneho prístupu

Väčšina klientov vyjme prevádzku miestnej siete, aby tlačiarne, prenos obrazu a zdieľanie súborov fungovali, kým je tunel aktívny. Táto výnimka je politické rozhodnutie s cenou za bezpečnosť: protivník v tej istej sieti sa môže vydávať za miestneho hostiteľa a prevádzka, ktorá k nemu dorazí, nikdy nevstúpila do tunela.

Pýtajte sa, či nasadený profil výnimku vôbec potrebuje. Vzdialená pracovná sila, ktorá nikdy nepoužíva miestne objavovanie, ju často môže vypnúť, a zvyšné miestne služby sa dajú dosiahnuť dokumentovanou cestou. Tam, kde je výnimka potrebná, uveďte, ktoré ciele pokrýva, namiesto toho, aby ste ju opisovali ako miestnu prevádzku.

Kontrola je otázka konfigurácie, nie zachytávanie paketov. Prečítajte si nastavenie profilu a dokumentáciu klienta pre verziu, ktorú nasadzujete, pretože predvolená hodnota sa líši medzi produktmi a medzi verziami toho istého produktu. Napíšte odpoveď vedľa profilu, aby ju ďalší kontrolór nemusel odvodzovať zo správania. Výnimka, ktorú nikto nedokumentoval, je výnimka, ktorú nikto nepreveruje.

Tretí krok: pozrite sa, ako sa učí adresa servera

Klient musí dosiahnuť server VPN skôr, než existuje akýkoľvek tunel, takže tento cieľ je zo zámeru smerovaný mimo tunela. Ak sa adresa učí z názvu, krok prekladu je súčasťou cesty dôvery a protivník, ktorý dokáže odpovedať na tento dotaz, môže klienta nasmerovať na hostiteľa, ktorý ovláda.

Pripnutie adresy, použitie overeného certifikátu so správnym názvom a odmietnutie spadnúť na neoverený server, to všetko znižuje expozíciu. Žiadne z nich neodstraňuje potrebu dosiahnuť server mimo tunela; menia, kto môže za túto adresu odpovedať.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Vyhľadanie trasy ukáže rozhranie, ktoré by klient použil pre adresu servera, a to je výnimka v konkrétnej podobe. Ak toto vyhľadanie vráti rozhranie tunela, klient vôbec nemôže tunel nadviazať, takže vonkajšia trasa sa očakáva a otázkou je len, ako sa volí jej cieľ.

Štvrtý krok: pozrite sa na trasy dodávané cez DHCP

Beztriedne statické trasy umožňujú serveru DHCP rozdávať záznamy smerovacej tabuľky a koncové zariadenie ich zvyčajne prijíma bez pýtania. V sieti, kde protivník dokáže odpovedať na DHCP rýchlejšie ako legitímny server, môžu tieto záznamy presmerovať prevádzku, o ktorej si používateľ myslí, že je vnútri tunela.

Porovnajte trasy na koncovom zariadení s trasami, ktoré očakávate. Predvolená trasa alebo široký prefix ukazujúci na miestnu bránu, kým je tunel aktívny, je podpis, ktorý stojí za vyšetrenie, a je viditeľný bez akejkoľvek útočnej prevádzky.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Posledné nastavenie je riadenie na strane koncového zariadenia, ktoré mnohí klienti a platformy ponúkajú v nejakej podobe: ignorovať trasy dodané sieťou. Vypnutie automatického prijímania trás je kompromis, pretože vypína aj legitímne rozdelené smerovanie od podnikového servera DHCP, takže o tom rozhodujte podľa triedy siete, nie globálne.

Piaty krok: oddeľte oznámenie od aktuálneho zostavenia

Zverejnený útok opisuje správanie pozorované na určitých verziách klienta v určitom čase. Nepreukazuje, že notebook pred vami je zasiahnutý, ani nepreukazuje, že je opravený. Obe tvrdenia potrebujú skutočné číslo zostavenia a aktuálne oznámenie výrobcu.

Zaznamenajte verziu klienta, platformu, nastavenia profilu, ktoré riadia výnimky vyššie, a dátum, kedy ste to skontrolovali. Tento záznam starne čestne, kým poznámka, že VPN bola záplatovaná pre TunnelCrack, nestarne čestne. Prečítajte si ho znova pri každej aktualizácii klienta, pretože predvolená hodnota profilu sa môže zmeniť pod verziou, ktorej ste sa nedotkli.

Keď naozaj overujete, použite schválený plán proti vlastnému koncovému zariadeniu a neškodnému cieľu. Reprodukovať útok proti iným používateľom v zdieľanej sieti nie je test a vypnutie overovania protistrany alebo šifrovania aplikácie na uľahčenie pozorovania odstraňuje ochranu, ktorú ste sa snažili merať.

Napokon držte v obraze ochranu na úrovni aplikácie. Výnimka v smerovaní môže odhaliť prevádzku, ktorú by tunel niesol, a TLS v aplikácii túto prevádzku stále chráni od konca po koniec. Obe vrstvy zlyhávajú nezávisle, preto pripojený riadiaci kanál nie je dôkazom, že každý tok išiel zamýšľanou cestou.