Kako preizkusiti, kaj pokriva zasilni izklop na kompromitiranem gostitelju

Zaženite preskus izpada, preberite rezultat vsake plasti in poglejte, kje se zasilni izklop ustavi: blokira poti, ne programske opreme, ki bere podatke pred šifriranjem.

Vklopite zasilni izklop, izklopite tunelski strežnik in opazujte, kaj naprava še počne. Preskus se splača, ker loči, kaj požarni zid dejansko uveljavlja, od tega, kar ste predpostavljali, in rezultati so ožji, kot nakazuje večina izdelčnih strani. Zasilni izklop upravlja omrežne poti; ne upravlja programske opreme, ki že teče na napravi. To zaporedje izvajam na vsakem stroju, kjer odjemalec trdi, da je fail-closed, in traja približno deset minut.

Začnite pri odjemalcu, ne pri strežniku

Točka uveljavljanja je gostitelj, na katerem sedite: požarni zid operacijskega sistema, pomožna storitev ali lastni gonilnik odjemalca VPN. To je pomembno, ker je vse, kar izklop lahko naredi, omejeno s tem, kar ta plast vidi. Če odjemalec blokado izvede s pravilom usmerjanja in oznako, lahko karkoli z dovolj pravicami doda svoje pravilo; če uporablja tabelo požarnega zidu jedra, lahko iste pravice urejajo tabelo. Moč šifre v to vprašanje nikoli ne vstopi.

Najprej je torej treba ugotoviti, kdo ima politiko na tej napravi in kaj sme prepisati. Na upravljanem delovnem stroju je odgovor običajno agent končnih točk organizacije, osebni VPN pa teh zmožnosti ne odpravi, ne glede na to, kako je tunel konfiguriran.

Prvi korak: potrdite blokado na poteh, za katere menite, da jih pokriva

Spustite tunel na oddaljenem koncu, ne pri odjemalcu, da bo odjemalec še vedno verjel, da bi moral biti povezan. Nato preizkusite, kar bi človek res preizkusil:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Želite odjemalca, ki hitro in čisto odpove, ne takega, ki visi do časovne omejitve brskalnika. Visenje običajno pomeni, da pakete tiho spusti pravilo brez zavrnitve, kar je sprejemljivo, lahko pa pomeni tudi, da je odjemalec pustil zastarelo privzeto pot na mrtvo vmesnik. Preberite usmerjevalno tabelo, ko je tunel spuščen: privzeta pot, ki še kaže na tunelsko napravo, in pravilo požarnega zidu, ki blokira le nove odhodne povezave, sta dve različni stanji in le eno od njiju je fail-closed.

Ponovite iste ukaze z omogočeno in onemogočeno možnostjo allow-LAN odjemalca. To stikalo je kraj večine presenečenj, ker znova odpre pot, ki jo je preostanek politike moral zapreti.

Drugi korak: preverite DNS in IPv6 kot ločeni poti

Razreševanje imen je vrzel, ki preživi večino izvedb, ker lahko poizvedba odide drugje kot skozi sistemski razreševalnik. Vprašajte z orodjem, ki prezre vašo konfiguracijo razreševalnika, in hkrati preverite stran v6:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Prazni odgovori na obe poizvedbi imen s spuščenim tunelom so rezultat, ki ga želite. Če druga poizvedba odgovori, je trdo kodiran naslov razreševalnika dosegljiv in tunel ni edina pot iz naprave. Če uspe le zahteva v6, politika pokriva IPv4 in prezre IPv6, kar je isto puščanje v drugi družini naslovov.

Brskalniki to otežijo brati od zunaj, ker brskalnik, nastavljen za DNS prek HTTPS, poizvedbo razreši z zahtevo HTTPS: poizvedba je blokirana le toliko, kolikor je blokiran vrata 443 do te končne točke. Na gostitelju, kjer politika dovoljuje lokalno podomrežje, lahko ta zahteva še vedno doseže razreševalnik v LAN.

Tretji korak: ločite omrežno izpostavljenost od izpostavljenosti končnih točk

Zdaj del, do katerega ne seže nobeno pravilo požarnega zidu. Zasilni izklop blokira poti z naprave; ne prepreči programske opreme na napravi brati podatkov pred šifriranjem in ne prepreči tej programski opremi zakonite uporabe tunela. Keylogger, zlonamerna razširitev, odklenjen zaslon, odjemalec za sinhronizacijo s širokimi dovoljenji: vse to prenaša informacije po povezavi, ki jo izklop z veseljem dovoli.

Enako velja za nadzorno programsko opremo, ki jo je delodajalec namerno namestil. Blokiranje poti je ne odstrani, nakup novega strežnika VPN pa ni popravilo, ker je izpostavljenost pred tunelom.

Upravitelj odložišča, ki nalaga v oblačni račun, to pokaže ostro. Promet je šifriran, cilj je dovoljen, zasilni izklop pa ves čas poroča o zdravem stanju.

Četrti korak: zapišite trditev, ki jo vaš preskus podpira

Po preskusu izpada lahko navedete konkretna dejstva: katere aplikacije so odpovedale, katere poti so se ustavile, kako sta se obnašala DNS in IPv6 in ali je blokada zdržala, ko je tunel padel. Ne morete trditi, da je operacijski sistem čist, niti da bo storitev na oddaljenem koncu ohranila vašo prijavo zasebno.

Držite oba problema ločeno in vsakemu dajte lasten nadzor:

  • Zasilni izklop: definirana zahteva po odpovedi, preverjena s preskusom izpada, ki ga ponovite po vsaki posodobitvi odjemalca.
  • Zaupanje v napravo: podprte posodobitve, zaščita končnih točk iz zaupanja vrednega vira, pregled nerazloženih dovoljenj in zahtev za preverjanje.
  • Incident: ob sumu kompromitacije sledite procesu platforme ali organizacije; nov strežnik ni korak čiščenja.
  • Razkritje: ko prosite za pomoč, ne prilepite zasebnih ključev ali celih diagnostičnih arhivov, ker dnevniki in posnetki zaslona nosijo iste skrivnosti kot povezava.

Po naslednji posodobitvi zaporedje znova izvedite, ker je zasilni izklop konfiguracija, ki se premika z različicami. Preskus je edini dokaz, da je vedenje, na katero se zanašate, še vedno tisto, ki ga dobite.

Sorodni članki