Vaš VPN prehod je kompromitiran: kaj je v resnici izpostavljeno
Vdrt VPN prehod vidi v svoj tunel, a to še ni nadzor nad vsako sejo. Pred obnovo ločite promet, doseg in shranjene skrivnosti.
VPN prehod stoji na koncu tunela, ki ga varuje, kar pomeni, da to šifriranje zaključi, namesto da bi ga prepustil naprej. Če napadalec nadzira gostitelja, je tunel od zunaj videti še vedno zdrav, medtem ko stroj v sredini ni več zaupanja vreden. Koristno vprašanje ni, ali je vse dešifrirano. Je, kaj je ta gostitelj lahko videl, kam je lahko dosegel in katere skrivnosti so bile na njem v resnici shranjene. Ti trije odgovori se močno razlikujejo, in odziv se razlikuje z njimi.
Prehod zaključi tunel, zato vidi vanj
Šifriranje v VPN poteka skok za skokom, in prehod je ta skok. Odstrani zunanjo plast, uporabi politiko in posreduje notranji paket, zato vsak preneseni paket v nekem trenutku obstaja v berljivi obliki v pomnilniku tega gostitelja. To je zasnova in ne napaka. Zato je kompromitacija prehoda drugačen dogodek od kompromitacije kriptografije tunela.
Prvo, kar napadalec pridobi, je položaj: zmožnost opazovanja prenesenega prometa, spreminjanja posredovanja ali odgovarjanja namesto backend sistema. Kaj pridobi nato, je odvisno od gostitelja, in tu ljudje precenjujejo. Sam dostop do prehoda ne izroči sejnih ključev TLS brskalnika, ker ti nikoli niso bili na prehodu.
Tri izpostavitve, ki niso enako velike
Vprašanje razdelite na preneseni promet, dosegljive sisteme in shranjene skrivnosti, nato odgovorite na vsako posebej.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Srednja vrstica je tista, ki je izpuščena. Prehod ima običajno pot v zasebna omrežja in izvorni naslov, ki mu backend sistemi že zaupajo, zato je zanimivo vprašanje, kaj ti backend sistemi dovoljujejo s tega naslova. Ozka politika dostopa strank je dobra kontrola, a napadalec na gostitelju ni omejen na vmesnik, ki bi ga uporabil običajen odjemalec.
Spodnja vrstica odloča, kako dolgo traja incident. Strežniški ključ in ključ CA imata popolnoma različna polmera učinka, prav tako pa lokalni skrbniški račun in nadzorni žeton samo za branje.
HTTPS znotraj tunela ostaja HTTPS
TLS aplikacije se zaključi v aplikaciji, ne na VPN prehodu, zato kompromitiran prehod pri teh tokovih vidi le šifrirano besedilo. To je resnična meja tega, kar napadalec dobi, in vredno je to jasno povedati, ker nasprotna trditev širi paniko in slabe odločitve. Dva pogoja to prelomita. Če je na poti inšpekcijska komponenta z zaupanja vrednim potrdilom, lahko prehod po zasnovi vidi čisto besedilo. Če je kompromitirana sama končna točka aplikacije, je tunel nepomemben.
Zato je odgovor na to, kaj so videli, pogojen, in zato ga je treba zapisati kot pogoje, ne pa razglasiti kot razsodbo.
Kaj se mora spremeniti, preden mu spet zaupate
Ponovna postavitev gostitelja je nujna in redko zadostna. Napadalec, ki še vedno drži skrbniški račun, poverilnico za uvajanje ali ključ za podpisovanje, lahko gostitelja vrne, kakor želi. Obnovitev se mora začeti z administrativne poti, ki ni odvisna od kompromitiranega stroja.
Preden se odločite, kaj zavrteti, popišite, kaj je bilo na njem. Ključi, servisni računi, žetoni API, lokalni uporabniki, načrtovana opravila, odnosi zaupanja in uvajalna cevovod so vsi kandidati, in vsak ima lastnika, ki bi to moral potrditi.
ss -lntup
getent passwd
crontab -l
ip route show table allTa seznam je najhitrejši način, da vidite, kaj je gostitelj ponujal in kam je lahko dosegel. Najprej ohranite dokaze, po postopku lastnika odziva, ker ponovna postavitev uniči natanko to, kar preiskava potrebuje. NIST SP 800-61 Revizija 3 obravnava pripravo, zaznavanje, odziv in obnovo kot dele enega procesa tveganja, ne kot navodilo za ponovni zagon.
Meje, ki naredijo naslednjo cenejšo
Štiri meje je vredno zgraditi, preden jih potrebujete. Ohranite neodvisno pot obnovitve, ki se ne overja prek prehoda. Ohranite pooblastilo za podpisovanje ločeno od gostitelja, ki streže promet. Omejite, kam lahko prehod doseže, da kompromitiran prehod ne bo samodejno kompromitirano upravljavsko omrežje. In zabeležite, komu pripada vsaka poverilnica, da bo vrtenje telefonski klic namesto arheološkega projekta.
Nobena od teh ne prepreči kompromitacije. Omejujejo jo in naredijo razliko med slabim tednom in slabim četrtletjem.