TunnelCrack kundër TunnelVision: çfarë thyen në të vërtetë secili

Dy emra kërkimor përdoren në mënyrë të ndërsjelltë për çdo trafik VPN që largohet nga tuneli, por mekanizmat pas tyre nuk janë të njëjtë. TunnelCrack përshkruan dy familje përjashtimesh rrugëtimi; TunnelVision përshkruan një rrugë që DHCP furnizon në pajisjen fundore. Asnjëri nuk thyen kriptimin, dhe asnjëri nuk ju thotë çfarë bën sot një version i caktuar i klientit. Pesë kontrolle ndajnë mekanizmat nga titulli.

Hapi i parë: emërtoni mekanizmin që po shqyrtoni

Zbulimi i TunnelCrack i gushtit 2023 përshkruan dy familje sulmesh. Në rastin e rrjetit lokal, trafiku që klienti e konsideron pjesë të rrjetit lokal merr një përjashtim aksesi lokal dhe largohet nga tuneli. Në rastin e adresës së serverit, rruga që klienti ka nevojë për të arritur vetë serverin VPN ndodhet jashtë tunelit, dhe një kundërshtar që kontrollon atë adresë mund të shfrytëzojë përjashtimin.

TunnelVision është një raport i veçantë për rrugët statike pa klasë që furnizohen nga DHCP. Një server DHCP keqdashës mund t'i japë pajisjes fundore rrugë që ndryshojnë shtegun e trafikut, përfshirë shtegun drejt serverit VPN. Raporti pranon punë të mëparshme për efekte të lidhura të rrugëtimit, çka kujton se mekanizmi bazë është më i vjetër se emri.

Mbani emrat të lidhur me mekanizmat e tyre. Zbatimi i një rregullimi për njërin sepse tjetri është në lajme është mënyra se si një shqyrtim prodhon lëvizje pa mbulim.

Hapi i dytë: shikoni përjashtimin e aksesit lokal

Shumica e klientëve përjashtojnë trafikun e rrjetit lokal që printerat, transmetimi i ekranit dhe ndarja e skedarëve të vazhdojnë të punojnë ndërsa tuneli është aktiv. Ky përjashtim është një vendim politike me kosto sigurie: një kundërshtar në të njëjtin rrjet mund të paraqitet si host lokal, dhe trafiku që arrin tek ai nuk ka hyrë kurrë në tunel.

Pyetni nëse profili i vendosur ka fare nevojë për përjashtimin. Një fuqi punëtore në distancë që nuk përdor kurrë zbulimin lokal shpesh mund ta çaktivizojë atë, dhe shërbimet lokale të mbetura mund të arrihen përmes një shtegu të dokumentuar. Kur përjashtimi është i nevojshëm, thoni cilat destinacione mbulon në vend që ta përshkruani si trafik lokal.

Kontrolli është një pyetje konfigurimi, jo një kapje paketash. Lexoni cilësimin e profilit dhe dokumentacionin e klientit për versionin që vendosni, sepse vlera e parazgjedhur ndryshon midis produkteve dhe midis versioneve të të njëjtit produkt. Shkruani përgjigjen pranë profilit, që shqyrtuesi i ardhshëm të mos duhet ta nxjerrë nga sjellja. Një përjashtim që askush nuk e dokumentoi është një përjashtim që askush nuk e shqyrton.

Hapi i tretë: shikoni si mësohet adresa e serverit

Klienti duhet të arrijë serverin VPN përpara se të ekzistojë ndonjë tunel, prandaj ai destinacion rrugëtohet jashtë tunelit sipas projektimit. Nëse adresa mësohet nga një emër, hapi i zgjidhjes është pjesë e shtegut të besimit, dhe një kundërshtar që mund t'i përgjigjet atij kërkese mund ta drejtojë klientin drejt një hosti që kontrollon.

Fiksimi i adresës, përdorimi i një certifikate të verifikuar me emrin e saktë dhe refuzimi për të rënë përsëri në një server të paverifikuar ulin të gjitha ekspozimin. Asnjëra prej tyre nuk heq nevojën për të arritur serverin jashtë tunelit; ato ndryshojnë kush mund të përgjigjet për atë adresë.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Kërkimi i rrugës tregon ndërfaqen që klienti do të përdorte për adresën e serverit, dhe ai është përjashtimi në formë konkrete. Nëse ky kërkim kthen ndërfaqen e tunelit, klienti nuk mund të krijojë fare tunelin, prandaj një rrugë e jashtme pritet dhe pyetja është vetëm se si zgjidhet destinacioni i saj.

Hapi i katërt: shikoni rrugët që furnizon DHCP

Rrugët statike pa klasë lejojnë një server DHCP të shpërndajë zëra të tabelës së rrugëtimit, dhe pajisja fundore normalisht i pranon pa pyetur. Në një rrjet ku një kundërshtar mund t'i përgjigjet DHCP më shpejt se serveri i ligjshëm, ato zëra mund të ridrejtojnë trafik që përdoruesi mendon se është brenda tunelit.

Krahasoni rrugët në pajisjen fundore me rrugët që prisni. Një rrugë e parazgjedhur ose një prefiks i gjerë që tregon drejt portës lokale ndërsa tuneli është aktiv është nënshkrimi që meriton hetim, dhe është i dukshëm pa asnjë trafik sulmi.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Cilësimi i fundit është kontrolli në anën e pajisjes fundore që shumë klientë dhe platforma e ekspozojnë në një formë ose tjetër: injoroni rrugët që furnizon rrjeti. Çaktivizimi i pranimit automatik të rrugëve është një kompromis, sepse çaktivizon edhe rrugëtimin e ndarë të ligjshëm nga një server DHCP korporativ, prandaj vendoseni sipas klasës së rrjetit dhe jo globalisht.

Hapi i pestë: ndani njoftimin nga versioni aktual

Një sulm i publikuar përshkruan sjellje të vërejtur në versione të caktuara të klientit në një kohë të caktuar. Ai nuk vërteton që laptopi përpara jush është i prekur, dhe nuk vërteton që është rregulluar. Të dyja pohimet kërkojnë numrin real të ndërtimit dhe njoftimin aktual të furnizuesit.

Regjistroni versionin e klientit, platformën, cilësimet e profilit që drejtojnë përjashtimet më sipër dhe datën kur kontrolluat. Ai regjistër plaket me ndershmëri, ndërsa një shënim që thotë se VPN-ja u rregullua për TunnelCrack nuk plaket me ndershmëri. Rilexojeni sa herë që klienti përditësohet, sepse një parazgjedhje e profilit mund të ndryshojë nën një version që nuk e keni prekur.

Kur vërtetoni vërtet, përdorni një plan të miratuar kundër pajisjes tuaj fundore dhe një destinacioni të pafajshëm. Riprodhimi i sulmit kundër përdoruesve të tjerë në një rrjet të përbashkët nuk është test, dhe çaktivizimi i verifikimit të palëve ose i kriptimit të aplikacionit për ta bërë vëzhgimin më të lehtë heq mbrojtjen që po përpiqeshit të matnit.

Së fundi, mbani mbrojtjen në nivel aplikacioni në pamje. Një përjashtim rrugëtimi mund të ekspozojë trafik që tuneli do të kishte bartur, dhe TLS i aplikacionit vazhdon ta mbrojë atë trafik nga skaji në skaj. Dy shtresat dështojnë në mënyrë të pavarur, prandaj një kanal kontrolli i lidhur nuk është provë që çdo rrjedhë ndoqi shtegun e synuar.