Porta juaj VPN është komprometuar: çfarë është realmente ekspozuar

Një portë VPN qëndron në fund të tunelit që mbron, që do të thotë se e përfundon atë kriptim në vend që ta lërë të kalojë. Nëse një sulmues kontrollon hostin, tuneli vazhdon të duket i shëndetshëm nga jashtë, ndërsa makina në mes nuk është më e besueshme. Pyetja e dobishme nuk është nëse gjithçka dekriptohet. Është çfarë mund të shihte ai host, ku mund të arrinte dhe cilat sekrete ishin vërtet të ruajtura mbi të. Këto tre përgjigje ndryshojnë shumë, dhe përgjigja ndryshon bashkë me to.

Porta e përfundon tunelin, prandaj sheh brenda

Kriptimi në një VPN shkon hap pas hapi, dhe porta është hapi. Ajo heq shtresën e jashtme, zbaton politikën dhe përcjell paketën e brendshme, kështu që çdo paketë e transportuar ekziston në një farë momenti në formë të lexueshme në memorien e atij hosti. Ky është dizajni dhe jo një defekt. Prandaj komprometimi i portës është një ngjarje ndryshe nga komprometimi i kriptografisë së tunelit.

Gjëja e parë që fiton sulmuesi është pozicioni: aftësia për të vëzhguar trafikun e transportuar, për të ndryshuar përcjelljen ose për t'u përgjigjur në vend të një backend. Çfarë fiton më pas varet nga hosti, dhe këtu njerëzit mbivlerësojnë. Aksesi vetëm në portë nuk i dorëzon çelësat e sesionit TLS të një shfletuesi, sepse ata nuk kanë qenë kurrë në portë.

Tre ekspozime që nuk kanë të njëjtën madhësi

Ndajeni pyetjen në trafik të transportuar, sisteme të arritshme dhe sekrete të ruajtura, pastaj përgjigjuni secilës veçmas.

Rreshti i mesëm është ai që anashkalohet. Një portë zakonisht ka një rrugë drejt rrjeteve private dhe një adresë burimi që backend-et tashmë i besojnë, prandaj pyetja interesante është çfarë lejojnë ata backend nga ajo adresë. Një politikë e ngushtë e aksesit të klientëve është kontroll i mirë, por një sulmues në host nuk kufizohet në ndërfaqen që do të përdorte një klient normal.

Rreshti i poshtëm vendos sa zgjat incidenti. Një çelës serveri dhe një çelës CA kanë rreze ndikimi krejt të ndryshme, dhe po ashtu një llogari administrative lokale dhe një token monitorimi vetëm për lexim.

HTTPS brenda tunelit mbetet HTTPS

TLS i aplikacionit përfundon në aplikacion, jo në portën VPN, prandaj një portë e komprometuar vëzhgon vetëm tekst të shifruar për ato flukse. Ky është një kufi real për atë që merr sulmuesi, dhe ia vlen të thuhet qartë, sepse pohonimi i kundërt përhap panik dhe vendime të këqija. Dy kushte e thyejnë atë. Nëse në rrugë ndodhet një komponent inspektimi me një certifikatë të besuar, porta mund të shohë tekst të thjeshtë sipas dizajnit. Nëse vetë pika e fundit e aplikacionit është e komprometuar, tuneli është i parëndësishëm.

Prandaj përgjigja për atë që panë është e kushtëzuar, dhe duhet të shkruhet si kushte në vend që të shpallet si verdikt.

Çfarë duhet të ndryshojë përpara se t'i besoni përsëri

Rindërtimi i hostit është i nevojshëm dhe rrallë i mjaftueshëm. Një sulmues që mban ende një llogari administrimi, një kredencial vendosjeje ose një çelës nënshkrimi mund ta kthejë hostin si të dojë. Rikuperimi duhet të nisë nga një rrugë administrimi që nuk varet nga makina e komprometuar.

Inventarizoni çfarë ishte mbi të përpara se të vendosni çfarë duhet rrotulluar. Çelësat, llogaritë e shërbimit, tokenët API, përdoruesit lokalë, punët e planifikuara, marrëdhëniet e besimit dhe tubacioni i vendosjes janë të gjithë kandidatë, dhe secili ka një pronar që duhet ta konfirmojë.

ss -lntup
getent passwd
crontab -l
ip route show table all

Ai listim është mënyra më e shpejtë për të parë çfarë ofronte hosti dhe deri ku mund të arrinte. Ruani fillimisht provat, sipas procesit të pronarit të përgjigjes, sepse një rindërtim shkatërron pikërisht atë që i nevojitet një hetimi. NIST SP 800-61 Rishikimi 3 i trajton përgatitjen, zbulimin, përgjigjen dhe rikuperimin si pjesë të një procesi të vetëm risku, jo si një udhëzim rinisjeje.

Kufij që e bëjnë më të lirë të ardhshmin

Ia vlen të ndërtohen katër kufij përpara se t'ju duhen. Mbani një rrugë rikuperimi të pavarur që nuk vërtetohet përmes portës. Mbani autoritetin e nënshkrimit të ndarë nga hosti që shërben trafikun. Kufizoni deri ku mund të arrijë porta, në mënyrë që një portë e komprometuar të mos jetë automatikisht një rrjet administrimi i komprometuar. Dhe regjistroni kujt i përket çdo kredencial, që rrotullimi të jetë një telefonatë në vend të një projekti arkeologjik.

Asnjë prej këtyre nuk e parandalon komprometimin. E kufizojnë atë, dhe bëjnë dallimin midis një jave të keqe dhe një tremujori të keq.