TunnelCrack наспрам TunnelVision-а: шта сваки од њих заиста ломи

Два истраживачка имена користе се наизменично за сав VPN саобраћај који напушта тунел, али механизми иза њих нису исти. TunnelCrack описује две породице изузетака у рутирању; TunnelVision описује путању коју DHCP доставља на крајњи уређај. Ниједан не ломи шифровање и ниједан не каже шта данас ради одређена верзија клијента. Пет провера раздваја механизме од наслова.

Први корак: именујте механизам који прегледате

Објављивање TunnelCrack-а из августа 2023. описује две породице напада. У случају локалне мреже, саобраћај који клијент сматра делом локалне мреже добија изузетак локалног приступа и напушта тунел. У случају адресе сервера, путања која је клијенту потребна да стигне до самог VPN сервера налази се изван тунела, и противник који контролише ту адресу може да искористи изузетак.

TunnelVision је посебан извештај о бескласним статичким путањама које доставља DHCP. Злонамерни DHCP сервер може крајњем уређају да додели путање које мењају пут саобраћаја, укључујући пут ка VPN серверу. Извештај признаје ранији рад о повезаним ефектима рутирања, што подсећа да је основни механизам старији од имена.

Држите имена везана за њихове механизме. Примена исправке за једно јер је друго у вестима је начин на који преглед ствара кретање без покривености.

Други корак: погледајте изузетак локалног приступа

Већина клијената изузима саобраћај локалне мреже да би штампачи, пренос екрана и дељење датотека радили док је тунел активан. Тај изузетак је политичка одлука са ценом по безбедност: противник на истој мрежи може да се представи као локални домаћин, а саобраћај који до њега стигне никада није ушао у тунел.

Питајте да ли је распоређеном профилу изузетак уопште потребан. Радна снага на даљину која никада не користи локално откривање често може да га искључи, а преосталим локалним услугама може да се приступи документованом путањом. Где је изузетак потребан, наведите које одредишне тачке покрива уместо да га описујете као локални саобраћај.

Провера је питање конфигурације, а не снимање пакета. Прочитајте подешавање профила и документацију клијента за верзију коју распоређујете, јер се подразумевана вредност разликује између производа и између верзија истог производа. Запишите одговор поред профила, да следећи прегледач не би морао да га изведе из понашања. Изузетак који нико није документовао је изузетак који нико не прегледа.

Трећи корак: погледајте како се учи адреса сервера

Клијент мора да стигне до VPN сервера пре него што постоји било какав тунел, па се та одредишна тачка по пројекту рутира изван тунела. Ако се адреса учи из имена, корак разрешавања је део путање поверења, и противник који може да одговори на тај упит може да усмери клијента на домаћина који контролише.

Фиксирање адресе, коришћење провереног сертификата са исправним именом и одбијање да се падне на непроверени сервер сви смањују изложеност. Ниједно од тога не уклања потребу да се сервер достигне изван тунела; она мењају ко може да одговара за ту адресу.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Претрага путање показује интерфејс који би клијент користио за адресу сервера, и то је изузетак у конкретном облику. Ако та претрага врати интерфејс тунела, клијент уопште не може да успостави тунел, па се спољна путања очекује и питање је само како се бира њена одредишна тачка.

Четврти корак: погледајте путање које доставља DHCP

Бескласне статичке путање омогућавају DHCP серверу да дели записе табеле рутирања, а крајњи уређај их обично прихвата без питања. На мрежи где противник може да одговори на DHCP брже од легитимног сервера, ти записи могу да преусмере саобраћај за који корисник мисли да је унутар тунела.

Упоредите путање на крајњем уређају са путањама које очекујете. Подразумевана путања или широки префикс који показује на локални гејтвеј док је тунел активан је потпис који вреди истражити, и видљив је без икаквог нападачког саобраћаја.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Последње подешавање је контрола на страни крајњег уређаја коју многи клијенти и платформе излажу у неком облику: игнорисање путања које доставља мрежа. Искључивање аутоматског прихватања путања је компромис, јер искључује и легитимно подељено рутирање од корпоративног DHCP сервера, зато одлучите по класи мреже, а не глобално.

Пети корак: одвојте обавештење од текуће градње

Објављени напад описује понашање примећено на одређеним верзијама клијента у одређено време. Он не доказује да је лаптоп пред вама погођен, и не доказује да је исправљен. Обе тврдње захтевају стварни број градње и актуелно обавештење добављача.

Запишите верзију клијента, платформу, подешавања профила која управљају изузецима горе и датум када сте проверили. Тај запис стари честито, а белешка да је VPN закрпљен због TunnelCrack-а не стари честито. Поново га прочитајте при сваком ажурирању клијента, јер се подразумевана вредност профила може променити под верзијом коју нисте дотакли.

Када стварно проверавате, користите одобрен план против сопственог крајњег уређаја и безопасне одредишне тачке. Репродуковање напада против других корисника на дељеној мрежи није тест, а искључивање провере партнера или шифровања апликације да бисте олакшали посматрање уклања заштиту коју сте покушавали да измерите.

На крају, држите заштиту на нивоу апликације у слици. Изузетак у рутирању може да изложи саобраћај који би тунел носио, а TLS апликације и даље штити тај саобраћај од краја до краја. Два слоја отказују независно, зато повезан контролни канал није доказ да је сваки ток кренуо предвиђеном путањом.