Lango lako la VPN limekiukwa: kile kinachofichuliwa kwa kweli

Lango la VPN linasimama mwisho wa handaki linalolinda, ambayo ina maana kwamba linasitisha usimbaji fiche huo badala ya kuupitisha. Ikiwa mshambuliaji anadhibiti mwenyeji, handaki linaendelea kuonekana likiwa na afya kwa nje wakati mashine ya katikati haiaminiki tena. Swali lenye faida si kama kila kitu kinafichuliwa. Ni kile ambacho mwenyeji huyo angeweza kuona, mahali ambapo angeweza kufikia, na siri zipi ziliyohifadhiwa juu yake kwa kweli. Majibu hayo matatu yanatofautiana sana, na mwitikio unatofautiana pamoja nayo.

Lango linasitisha handaki, kwa hiyo linaona ndani yake

Usimbaji fiche katika VPN huenda hatua kwa hatua, na lango ndiyo hatua hiyo. Linaondoa tabaka la nje, linatumia sera na kusukuma pakiti ya ndani, kwa hiyo kila pakiti inayobebwa inakuwa katika mfumo unaosomeka katika kumbukumbu ya mwenyeji huyo wakati fulani. Hiyo ni muundo na si kasoro. Ndiyo sababu kudukuliwa kwa lango ni tukio tofauti na kudukuliwa kwa usimbaji fiche wa handaki.

Kitu cha kwanza ambacho mshambuliaji hupata ni nafasi: uwezo wa kuchunguza trafiki inayobebwa, kubadilisha usambazaji, au kujibu badala ya backend. Kile anachopata baadaye kinategemea mwenyeji, na hapa watu hukadiria kupita kiasi. Ufikiaji wa lango pekee hautoi funguo za kikao cha TLS za kivinjari, kwa sababu hazikuwahi kuwa kwenye lango.

Mafichuo matatu ambayo si ya ukubwa mmoja

Gawanya swali katika trafiki inayobebwa, mifumo inayoweza kufikiwa na siri zilizohifadhiwa, kisha jibu kila moja kivyake.

Mstari wa kati ndio unaorukwa. Lango huwa na njia ya kuingia mitandao ya kibinafsi na anwani ya chanzo ambayo backend tayari wanaiamini, kwa hiyo swali la kuvutia ni kile ambacho backend hizo huruhusu kutoka anwani hiyo. Sera nyembamba ya ufikiaji wa mteja ni udhibiti mzuri, lakini mshambuliaji aliye kwenye mwenyeji hakomei kwenye kiolesura ambacho mteja wa kawaida ange tumia.

Mstari wa chini huamua muda ambao tukio hudumu. Ufunguo wa seva na ufunguo wa CA una nyanja tofauti kabisa za athari, na vilevile akaunti ya msimamizi wa ndani na tokeni ya ufuatiliaji ya kusoma tu.

HTTPS ndani ya handaki bado ni HTTPS

TLS ya programu huisha ndani ya programu, si kwenye lango la VPN, kwa hiyo lango lililodukuliwa huona maandishi yaliyosimbwa kwa mitiririko hiyo. Hiyo ni kikomo cha kweli cha kile mshambuliaji anapata, na inafaa kusemwa waziwazi, kwa sababu dai la kinyume huenea hofu na maamuzi mabaya. Masharti mawili huvunja hilo. Ikiwa kipengele cha ukaguzi chenye cheti cha kuaminika kiko kwenye njia, lango linaweza kuona maandishi wazi kwa muundo. Ikiwa mwisho wa programu wenyewe umedukuliwa, handaki haina umuhimu.

Kwa hiyo jibu la kile walichokiona lina masharti, na linapaswa kuandikwa kama masharti badala ya kutangazwa kama hukumu.

Kile kinachopaswa kubadilika kabla ya kuamini tena

Kujenga upya mwenyeji ni lazima na mara chache hutosha. Mshambuliaji ambaye bado ana akaunti ya usimamizi, kitambulisho cha usambazaji au ufunguo wa kusaini anaweza kurudisha mwenyeji jinsi anavyotaka. Urejeshaji lazima uanze kutoka njia ya utawala ambayo haitegemei mashine iliyodukuliwa.

Kabla ya kuamua nini cha kuzungusha, fanya orodha ya kile kilichokuwa juu yake. Funguo, akaunti za huduma, tokeni za API, watumiaji wa ndani, kazi zilizopangwa, mahusiano ya uaminifu na mstari wa usambazaji wote ni wateule, na kila moja ina mmiliki anayepaswa kuithibitisha.

ss -lntup
getent passwd
crontab -l
ip route show table all

Orodha hiyo ni njia ya haraka zaidi ya kuona kile mwenyeji alitoa na mahali ambapo angeweza kufikia. Hifadhi ushahidi kwanza, kwa mujibu wa mchakato wa mmiliki wa mwitikio, kwa sababu kujenga upya huharibu hasa kile ambacho uchunguzi unahitaji. NIST SP 800-61 Toleo la 3 linachukulia maandalizi, ugunduzi, mwitikio na urejeshaji kama sehemu za mchakato mmoja wa hatari badala ya maagizo ya kuanzisha upya.

Mipaka inayofanya ijayo kuwa rahisi

Mipaka minne inafaa kujengwa kabla ya kuihitaji. Weka njia huru ya urejeshaji ambayo haithibitishi kupitia lango. Weka mamlaka ya kusaini kando na mwenyeji anayehudumia trafiki. Punguza mahali ambapo lango linaweza kufikia, ili lango lililodukuliwa lisiwe mtandao wa usimamizi uliodukuliwa kiotomatiki. Na andika ni nani anamiliki kila kitambulisho, ili kuzungusha kuwe simu moja badala ya mradi wa kiakiolojia.

Hakuna hata moja ya haya inayozuia udukuzi. Yanasimamia kikomo chake, na hufanya tofauti kati ya wiki mbaya na robo mbaya.