Vaša VPN brána je kompromitovaná: čo je skutočne vystavené

VPN brána stojí na konci tunela, ktorý chráni, čo znamená, že toto šifrovanie ukončuje, namiesto toho aby ho prepúšťala ďalej. Ak útočník ovláda hostiteľa, tunel zvonku stále vyzerá zdravo, kým stroj v strede už nie je dôveryhodný. Užitočná otázka nie je, či sa všetko dešifruje. Je to, čo ten hostiteľ mohol vidieť, kam sa mohol dostať a aké tajomstvá na ňom boli skutočne uložené. Tieto tri odpovede sa veľmi líšia a reakcia sa líši spolu s nimi.

Brána ukončuje tunel, takže vidí dovnútra

Šifrovanie vo VPN ide skok za skokom a brána je ten skok. Zloží vonkajšiu vrstvu, uplatní politiku a prepošle vnútorný paket, takže každý prenášaný paket v určitom okamihu existuje v čitateľnej podobe v pamäti tohto hostiteľa. To je návrh, nie chyba. Preto je kompromitácia brány iná udalosť než kompromitácia kryptografie tunela.

Útočník najprv získa pozíciu: možnosť pozorovať prenášanú prevádzku, meniť preposielanie alebo odpovedať namiesto backendu. Čo získa ďalej, závisí od hostiteľa, a práve tu ľudia preceňujú. Samotný prístup k bráne neodovzdá reláciu TLS kľúčov prehliadača, pretože tie na bráne nikdy neboli.

Tri expozície, ktoré nemajú rovnakú veľkosť

Rozdeľte otázku na prenášanú prevádzku, dosiahnuteľné systémy a uložené tajomstvá a potom odpovedzte na každú zvlášť.

Prostredný riadok je ten, ktorý sa preskakuje. Brána zvyčajne má trasu do privátnych sietí a zdrojovú adresu, ktorej backendy už dôverujú, takže zaujímavá otázka je, čo tieto backendy z tej adresy dovoľujú. Úzka politika klientskeho prístupu je dobrá kontrola, ale útočník na hostiteľovi nie je obmedzený rozhraním, ktoré by použil bežný klient.

Spodný riadok rozhoduje, ako dlho incident potrvá. Kľúč servera a kľúč CA majú úplne odlišný dosah a rovnako miestny administrátorský účet a monitorovací token iba na čítanie.

HTTPS v tuneli zostáva HTTPS

TLS aplikácie sa ukončuje v aplikácii, nie na VPN bráne, takže kompromitovaná brána pri týchto tokoch vidí len šifrovaný text. To je skutočné obmedzenie toho, čo útočník získa, a stojí za to to povedať jasne, pretože opačné tvrdenie šíri paniku a zlé rozhodnutia. Dve podmienky to narúšajú. Ak je v ceste inšpekčná komponenta s dôveryhodným certifikátom, brána môže podľa návrhu vidieť čistý text. Ak je kompromitovaný samotný koncový bod aplikácie, tunel je irelevantný.

Odpoveď na to, čo videli, je teda podmienená, a mala by sa zapísať ako podmienky, nie oznámiť ako verdikt.

Čo sa musí zmeniť, kým jej opäť uveríte

Znovu postaviť hostiteľa je nutné a zriedka postačujúce. Útočník, ktorý stále drží správcovský účet, prihlasovacie údaje na nasadenie alebo podpisový kľúč, môže hostiteľa vrátiť tak, ako chce. Obnova musí začať z administratívnej cesty, ktorá nezávisí od kompromitovaného stroja.

Pred rozhodnutím, čo rotovať, urobte inventúru toho, čo na ňom bolo. Kľúče, servisné účty, API tokeny, miestni používatelia, naplánované úlohy, vzťahy dôvery a nasadzovací kanál sú všetci kandidáti a každý má vlastníka, ktorý by to mal potvrdiť.

ss -lntup
getent passwd
crontab -l
ip route show table all

Tento výpis je najrýchlejší spôsob, ako vidieť, čo hostiteľ ponúkal a kam mohol dosiahnuť. Najprv uchovajte dôkazy, podľa postupu vlastníka reakcie, pretože prestavba ničí práve to, čo vyšetrovanie potrebuje. NIST SP 800-61 Revízia 3 považuje prípravu, detekciu, reakciu a obnovu za časti jedného rizikového procesu, nie za pokyn na reštart.

Hranice, ktoré urobia tú ďalšiu lacnejšou

Štyri hranice stojí za to postaviť skôr, než ich budete potrebovať. Udržujte nezávislú cestu obnovy, ktorá sa neoveruje cez bránu. Udržujte podpisovú právomoc oddelene od hostiteľa, ktorý obsluhuje prevádzku. Obmedzte, kam brána môže dosiahnuť, aby kompromitovaná brána nebola automaticky kompromitovanou správnou sieťou. A zaznamenajte, komu patrí každý prístupový údaj, aby rotácia bola telefonátom namiesto archeologického projektu.

Nič z toho kompromitácii nezabráni. Ohraničuje ju a robí rozdiel medzi zlým týždňom a zlým štvrťrokom.