TunnelCrack proti TunnelVisionu: kaj vsak od njiju v resnici zlomi

Dve raziskovalni imeni se uporabljata zamenljivo za ves promet VPN, ki zapusti tunel, a mehanizmi za njima niso enaki. TunnelCrack opisuje dve družini izjem pri usmerjanju; TunnelVision opisuje pot, ki jo DHCP dostavi na končni napravi. Nobeden ne zlomi šifriranja in nobeden ne pove, kaj danes počne določena različica odjemalca. Pet preverjanj loči mehanizme od naslova.

Prvi korak: poimenujte mehanizem, ki ga pregledujete

Razkritje TunnelCrack iz avgusta 2023 opisuje dve družini napadov. Pri lokalnem omrežju promet, ki ga odjemalec šteje za del lokalnega omrežja, dobi izjemo za lokalni dostop in zapusti tunel. Pri naslovu strežnika je pot, ki jo odjemalec potrebuje, da doseže sam strežnik VPN, zunaj tunela, in nasprotnik, ki nadzoruje ta naslov, lahko izjemo izkoristi.

TunnelVision je ločeno poročilo o brezrazrednih statičnih poteh, ki jih dostavi DHCP. Zlonamerni strežnik DHCP lahko končni napravi dodeli poti, ki spremenijo pot prometa, vključno s potjo proti strežniku VPN. Poročilo priznava prejšnje delo o povezanih učinkih usmerjanja, kar spominja, da je osnovni mehanizem starejši od imena.

Držite imena privezana na njihove mehanizme. Uporaba popravka za enega, ker je drugi v novicah, je način, kako pregled ustvari gibanje brez pokritosti.

Drugi korak: poglejte izjemo za lokalni dostop

Večina odjemalcev izvzame promet lokalnega omrežja, da tiskalniki, predvajanje zaslona in skupna raba datotek delujejo, dokler je tunel aktiven. Ta izjema je politična odločitev s stroškom za varnost: nasprotnik v istem omrežju se lahko predstavi kot lokalni gostitelj, in promet, ki ga doseže, ni nikoli vstopil v tunel.

Vprašajte, ali nameščeni profil izjemo sploh potrebuje. Oddaljena delovna sila, ki nikoli ne uporablja lokalnega odkrivanja, jo lahko pogosto izklopi, preostale lokalne storitve pa je mogoče doseči po dokumentirani poti. Kjer je izjema potrebna, navedite, katere cilje pokriva, namesto da bi jo opisovali kot lokalni promet.

Preverjanje je vprašanje konfiguracije, ne zajem paketov. Preberite nastavitev profila in dokumentacijo odjemalca za različico, ki jo nameščate, ker se privzeta vrednost razlikuje med izdelki in med različicami istega izdelka. Odgovor zapišite ob profil, da ga naslednji pregledovalec ne bo moral izpeljati iz vedenja. Izjema, ki je nihče ni dokumentiral, je izjema, ki je nihče ne pregleda.

Tretji korak: poglejte, kako se nauči naslov strežnika

Odjemalec mora doseči strežnik VPN, preden obstaja kakršen koli tunel, zato se ta cilj po zasnovi usmerja zunaj tunela. Če se naslov nauči iz imena, je korak razreševanja del poti zaupanja, in nasprotnik, ki lahko odgovori na to poizvedbo, lahko odjemalca usmeri na gostitelja, ki ga nadzoruje.

Pritrditev naslova, uporaba preverjenega potrdila s pravilnim imenom in zavrnitev vrnitve na nepreverjen strežnik vse zmanjšujejo izpostavljenost. Nobena od teh ne odpravi potrebe, da se strežnik doseže zunaj tunela; spremenijo, kdo lahko odgovarja za ta naslov.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Iskanje poti pokaže vmesnik, ki bi ga odjemalec uporabil za naslov strežnika, in to je izjema v konkretni obliki. Če to iskanje vrne vmesnik tunela, odjemalec tunela sploh ne more vzpostaviti, zato je zunanja pot pričakovana in vprašanje je le, kako se izbere njen cilj.

Četrti korak: poglejte poti, ki jih dostavi DHCP

Brezrazredne statične poti omogočajo strežniku DHCP, da razdeli vnose usmerjevalne tabele, in končna naprava jih običajno sprejme brez vprašanja. V omrežju, kjer lahko nasprotnik odgovori na DHCP hitreje kot zakoniti strežnik, lahko ti vnosi preusmerijo promet, za katerega uporabnik misli, da je znotraj tunela.

Primerjajte poti na končni napravi s potmi, ki jih pričakujete. Privzeta pot ali široka predpona, ki kaže na lokalno prehodno postajo, medtem ko je tunel aktiven, je podpis, ki si zasluži preiskavo, in je viden brez kakršnega koli napadalnega prometa.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Zadnja nastavitev je nadzor na strani končne naprave, ki ga mnogi odjemalci in platforme izpostavijo v neki obliki: ne upoštevaj poti, ki jih dostavi omrežje. Izklop samodejnega sprejemanja poti je kompromis, ker izklopi tudi zakonito razdeljeno usmerjanje s strani poslovnega strežnika DHCP, zato se odločite po razredu omrežja in ne globalno.

Peti korak: ločite obvestilo od trenutne različice

Objavljen napad opisuje vedenje, opaženo na določenih različicah odjemalca v določenem času. Ne dokazuje, da je prenosnik pred vami prizadet, in ne dokazuje, da je popravljen. Obe trditvi potrebujeta dejansko številko gradnje in aktualno obvestilo ponudnika.

Zapišite različico odjemalca, platformo, nastavitve profila, ki urejajo zgornje izjeme, in datum, ko ste preverili. Ta zapis se pošteno stara, medtem ko se opomba, da je bil VPN popravljen zaradi TunnelCracka, ne stara pošteno. Znova ga preberite ob vsaki posodobitvi odjemalca, ker se privzeta vrednost profila lahko spremeni pod različico, ki se je niste dotaknili.

Ko resnično preverjate, uporabite odobren načrt proti lastni končni napravi in neškodljivemu cilju. Ponavljanje napada proti drugim uporabnikom v skupnem omrežju ni preizkus, izklop preverjanja enakovrednih ali šifriranja aplikacije za lažje opazovanje pa odstrani zaščito, ki ste jo poskušali izmeriti.

Nazadnje, držite zaščito na ravni aplikacije v sliki. Izjema pri usmerjanju lahko razkrije promet, ki bi ga tunel nosil, in TLS v aplikaciji še vedno ščiti ta promet od konca do konca. Oba sloja odpovesta neodvisno, zato povezan krmilni kanal ni dokaz, da je vsak tok šel po predvideni poti.