உங்கள் VPN நுழைவாயில் பாதிக்கப்பட்டுள்ளது: உண்மையில் என்ன வெளிப்படுகிறது
ஹேக் செய்யப்பட்ட VPN நுழைவாயில் தன் சுரங்கப்பாதையின் உள்ளே காண்கிறது, ஆனால் அது ஒவ்வொரு அமர்வையும் கைப்பற்றுவது அல்ல. மீட்புக்கு முன் போக்குவரத்து, அணுகல் மற்றும் சேமித்த ரகசியங்களை பிரிக்கவும்.
VPN நுழைவாயில் தான் பாதுகாக்கும் சுரங்கப்பாதையின் முடிவில் அமைகிறது, அதாவது அது அந்த மறையாக்கத்தை முடிக்கிறது, கடத்திச் செல்லவில்லை. ஒரு தாக்குபவர் புரவலனைக் கட்டுப்படுத்தினால், சுரங்கப்பாதை வெளியிலிருந்து ஆரோக்கியமாகவே தெரியும், ஆனால் நடுவில் உள்ள இயந்திரம் இனி நம்பகமானதல்ல. பயனுள்ள கேள்வி எல்லாம் மறைகுறியாக்கம் செய்யப்படுகிறதா என்பது அல்ல. அந்தப் புரவலன் என்ன பார்க்க முடிந்தது, எங்கு செல்ல முடிந்தது, எந்த ரகசியங்கள் உண்மையில் அதில் சேமிக்கப்பட்டிருந்தன என்பதே. அந்த மூன்று பதில்கள் மிகவும் வேறுபடுகின்றன, எதிர்வினையும் அவற்றுடன் வேறுபடுகிறது.
நுழைவாயில் சுரங்கப்பாதையை முடிக்கிறது, எனவே உள்ளே காண்கிறது
VPN-இல் மறையாக்கம் தாவல் தாவலாக நடக்கிறது, நுழைவாயில் அந்தத் தாவல். அது வெளிப்புற அடுக்கை நீக்கி, கொள்கையைப் பயன்படுத்தி உள் பொதியை அனுப்புகிறது, எனவே கொண்டு செல்லப்படும் ஒவ்வொரு பொதியும் ஏதோ ஒரு நேரத்தில் அந்தப் புரவலனின் நினைவகத்தில் படிக்கக்கூடிய வடிவில் இருக்கும். அது குறை அல்ல, வடிவமைப்பு. அதனால்தான் நுழைவாயில் பாதிக்கப்படுவது சுரங்கப்பாதையின் மறையாக்கம் பாதிக்கப்படுவதிலிருந்து வேறு நிகழ்வு.
தாக்குபவர் முதலில் பெறுவது நிலை: கொண்டு செல்லப்படும் போக்குவரத்தைக் கவனிக்கும், அனுப்புதலை மாற்றும், அல்லது பின்தளத்திற்குப் பதிலாக பதிலளிக்கும் திறன். அடுத்து என்ன பெறுவது என்பது புரவலனைப் பொறுத்தது, இங்குதான் மக்கள் அதிகமாக மதிப்பிடுகிறார்கள். நுழைவாயிலுக்கான அணுகல் மட்டும் உலாவியின் TLS அமர்வு விசைகளைத் தராது, ஏனெனில் அவை ஒருபோதும் நுழைவாயிலில் இருந்ததில்லை.
ஒரே அளவு அல்லாத மூன்று வெளிப்பாடுகள்
கேள்வியை கொண்டு செல்லப்படும் போக்குவரத்து, அணுகக்கூடிய அமைப்புகள் மற்றும் சேமித்த ரகசியங்கள் எனப் பிரித்து, பின்னர் ஒவ்வொன்றுக்கும் தனித்தனியாக பதிலளிக்கவும்.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
நடுவரிசைதான் தவிர்க்கப்படுகிறது. நுழைவாயிலுக்கு பொதுவாக தனியார் வலையமைப்புகளுக்கான பாதையும், பின்தளங்கள் ஏற்கனவே நம்பும் மூல முகவரியும் இருக்கும், எனவே சுவாரஸ்யமான கேள்வி அந்தப் பின்தளங்கள் அந்த முகவரியிலிருந்து எதை அனுமதிக்கின்றன என்பதே. குறுகிய வாடிக்கையாளர் அணுகல் கொள்கை நல்ல கட்டுப்பாடு, ஆனால் புரவலனில் உள்ள தாக்குபவர் சாதாரண வாடிக்கையாளர் பயன்படுத்தும் இடைமுகத்துக்கு மட்டுப்படுத்தப்படவில்லை.
கீழ் வரிசை நிகழ்வு எவ்வளவு காலம் நீடிக்கும் என்பதைத் தீர்மானிக்கிறது. சேவையக விசைக்கும் CA விசைக்கும் முற்றிலும் வேறுபட்ட தாக்க வீச்சு உள்ளது, அதேபோல் உள்ளூர் நிர்வாகி கணக்கு மற்றும் படிக்க-மட்டும் கண்காணிப்பு டோக்கனுக்கும்.
சுரங்கப்பாதைக்குள் HTTPS இன்னும் HTTPS
பயன்பாட்டின் TLS பயன்பாட்டிலேயே முடிகிறது, VPN நுழைவாயிலில் அல்ல, எனவே பாதிக்கப்பட்ட நுழைவாயில் அந்த ஓட்டங்களுக்கு மறையாக்கப்பட்ட உரையை மட்டுமே கவனிக்கிறது. தாக்குபவர் பெறுவதற்கு இது ஒரு உண்மையான எல்லை, இதைத் தெளிவாகச் சொல்ல வேண்டும், ஏனெனில் எதிர்மறைக் கூற்று பீதியையும் மோசமான முடிவுகளையும் பரப்புகிறது. இரண்டு நிபந்தனைகள் இதை உடைக்கின்றன. பாதையில் நம்பகமான சான்றிதழ் கொண்ட ஆய்வுக் கூறு இருந்தால், நுழைவாயில் வடிவமைப்பின்படி சாதாரண உரையைக் காணலாம். பயன்பாட்டின் முடிவுப் புள்ளியே பாதிக்கப்பட்டிருந்தால், சுரங்கப்பாதை பொருத்தமற்றது.
எனவே அவர்கள் என்ன பார்த்தார்கள் என்பதற்கான பதில் நிபந்தனைக்குட்பட்டது, அதைத் தீர்ப்பாக அறிவிப்பதைவிட நிபந்தனைகளாக எழுத வேண்டும்.
மீண்டும் நம்புவதற்கு முன் என்ன மாற வேண்டும்
புரவலனை மீண்டும் கட்டுவது அவசியம், அரிதாகவே போதுமானது. இன்னும் நிர்வாகக் கணக்கு, பிரயோகச் சான்று அல்லது கையொப்ப விசை வைத்திருக்கும் தாக்குபவர் புரவலனைத் தான் விரும்பியபடி திரும்பக் கொண்டு வரலாம். மீட்பு பாதிக்கப்பட்ட இயந்திரத்தைச் சாராத நிர்வாகப் பாதையிலிருந்து தொடங்க வேண்டும்.
எதைச் சுழற்றுவது என்பதை முடிவு செய்வதற்கு முன் அதில் என்ன இருந்தது என்பதைப் பட்டியலிடுங்கள். விசைகள், சேவைக் கணக்குகள், API டோக்கன்கள், உள்ளூர் பயனர்கள், திட்டமிடப்பட்ட பணிகள், நம்பிக்கை உறவுகள் மற்றும் பிரயோகக் குழாய் அனைத்தும் வேட்பாளர்கள், ஒவ்வொன்றுக்கும் அதை உறுதிப்படுத்த வேண்டிய உரிமையாளர் உள்ளார்.
ss -lntup
getent passwd
crontab -l
ip route show table allஅந்தப் பட்டியல் புரவலன் என்ன வழங்கியது, எங்கு செல்ல முடிந்தது என்பதைக் காண வேகமான வழி. முதலில் ஆதாரங்களைப் பாதுகாக்கவும், பதிலளிப்பு உரிமையாளரின் செயல்முறையின்படி, ஏனெனில் மீள்கட்டுமானம் விசாரணைக்குத் தேவையானதைத் துல்லியமாக அழிக்கிறது. NIST SP 800-61 திருத்தம் 3 தயாரிப்பு, கண்டறிதல், பதிலளிப்பு மற்றும் மீட்பை மறுதொடக்கம் செய்வதற்கான வழிமுறையாக அல்ல, ஒரே ஆபத்து செயல்முறையின் பகுதிகளாகக் கருதுகிறது.
அடுத்ததை மலிவாக்கும் எல்லைகள்
தேவைப்படுவதற்கு முன் நான்கு எல்லைகளைக் கட்டுவது மதிப்புடையது. நுழைவாயில் வழியாக அங்கீகரிக்காத சுயாதீன மீட்புப் பாதையை வைத்திருங்கள். கையொப்ப அதிகாரத்தை போக்குவரத்துக்கு சேவை செய்யும் புரவலனிலிருந்து தனியாக வைத்திருங்கள். நுழைவாயில் எங்கு செல்ல முடியும் என்பதைக் கட்டுப்படுத்துங்கள், அதனால் பாதிக்கப்பட்ட நுழைவாயில் தானாகவே பாதிக்கப்பட்ட நிர்வாக வலையமைப்பாகாது. மேலும் ஒவ்வொரு சான்றும் யாருக்கு சொந்தம் என்று பதிவு செய்யுங்கள், அதனால் சுழற்றுவது தொல்லியல் திட்டமாக அல்ல, ஒரு தொலைபேசி அழைப்பாக இருக்கும்.
இவற்றில் எதுவும் பாதிப்பைத் தடுக்கவில்லை. அவை அதை எல்லைப்படுத்துகின்றன, மேலும் மோசமான ஒரு வாரத்திற்கும் மோசமான ஒரு காலாண்டுக்கும் இடையிலான வேறுபாட்டை உருவாக்குகின்றன.