คุณได้รับผลกระทบจาก CVE-2019-14899 หรือไม่? รายการตรวจสอบสำหรับเคอร์เนล

สแกนเนอร์ตั้งธง CVE-2019-14899 บนเครื่องที่ใช้ VPN มาหลายปี และปฏิกิริยาแรกคือการประกาศว่า VPN เสีย นั่นคือกรอบที่ผิด ปัญหาที่เปิดเผยนั้นเกี่ยวกับผู้โจมตีในเครือข่ายท้องถิ่นของเหยื่อที่อนุมานข้อมูลเกี่ยวกับการเชื่อมต่อ TCP บางอย่าง ไม่ใช่เว็บไซต์ที่ถอดรหัสอุโมงค์ของคุณ

ทำการตรวจสอบทั้งสี่ข้อด้านล่างตามลำดับ แต่ละข้อจะจำกัดปัญหาหรือจบการสอบสวน

การตรวจสอบ 1: ประกาศครอบคลุมเคอร์เนลของคุณหรือไม่

ค้นหาบันทึกของดิสทริบิวชันของคุณเอง ไม่ใช่บทสรุปวันวางจำหน่ายจากบล็อก หน้าความปลอดภัยของ Ubuntu สำหรับ CVE นี้ ระบุแพ็กเกจ linux ทั่วไปสำหรับ 18.04 LTS ว่ามีช่องโหว่โดยเลื่อนการแก้ไขออกไป และติดตามแพ็กเกจเคอร์เนลอื่นในแถวแยกกัน จับคู่รุ่นที่ใช้งานอยู่และแพ็กเกจเคอร์เนลกับแถวที่ถูกต้อง หมายเลขรุ่นที่ดูคุ้นเคยไม่ใช่การจับคู่

ผลการสแกนหมายความว่าตัวระบุใช้กับบางสิ่งในสินค้าคงคลังของคุณ ไม่ได้หมายความว่าอุปกรณ์ข้างเคียงใช้ประโยชน์จากเครื่อง

การตรวจสอบ 2: ผู้โจมตีในแบบจำลองคือใคร

แบบจำลองภัยคุกคามสมมติผู้โจมตีข้างเคียงที่สามารถโต้ตอบกับเครือข่ายการเข้าถึงของเหยื่อได้ นั่นคือตำแหน่งที่เฉพาะเจาะจง ไม่ใช่บริการระยะไกลใด ๆ ที่ไม่ชอบโหนดทางออกของคุณ หากผู้ใช้เชื่อมต่อจากร้านกาแฟ ข้อสมมติก็สมจริง หากพวกเขาอยู่หลัง LAN องค์กรที่มีการจัดการ ก็เป็นอีกเรื่องหนึ่ง

ปล่อยคำถามเรื่องความไว้วางใจในเครือข่ายท้องถิ่นให้เปิดอยู่แม้อุโมงค์จะถูกเข้ารหัส การเข้ารหัสตอบคำถามที่ต่างจากความใกล้ชิด

การตรวจสอบ 3: คุณพึ่งพาชั้นใด

HTTPS ที่ผ่านการตรวจสอบอย่างถูกต้องให้การป้องกันของตัวเองสำหรับบันทึกแอปพลิเคชัน และ TLS 1.3 รับรองข้อมูลนั้นตั้งแต่ต้นจนจบ แต่ไม่ได้สัญญาว่าผู้โจมตีจะไม่สามารถขัดขวางการเชื่อมต่อ TCP ที่อยู่ข้างใต้ได้ ดังนั้นแอปพลิเคชันอาจปลอดภัยที่จะอ่านแต่ยังถูกขัดขวางได้ และการขัดขวางไม่ใช่ผลลัพธ์เดียวกับการเปิดเผย แยกทั้งสองออกจากกันก่อนประเมินความเสี่ยง

ความแตกต่างนั้นสำคัญต่อรายงาน มันเปลี่ยนข้อกล่าวหาที่คลุมเครือว่า VPN ไม่ปลอดภัยให้เป็นถ้อยแถลงที่จำกัดเกี่ยวกับสิ่งที่ผู้โจมตีข้างเคียงอาจสังเกตหรือขัดขวางได้

การตรวจสอบ 4: คุณใช้มาตรการบรรเทาใดจริง

การเปิดเผยกล่าวถึงมาตรการบรรเทาด้านเส้นทางและการกรอง และชัดเจนเกี่ยวกับขีดจำกัด รวมถึงการกรองเส้นทางย้อนกลับและเส้นทางที่ไม่สมมาตร อย่าติดค่าตัวแปร sysctl ค่าเดียวบนโฮสต์ VPN ทุกเครื่องแล้วบอกว่าแก้ไขแล้ว การกรองเส้นทางย้อนกลับมีปฏิสัมพันธ์กับการกำหนดเส้นทาง ค่าที่ช่วยโทโพโลยีหนึ่งอาจทำลายอีกอันหนึ่ง

การตรวจสอบคือคำสั่ง ไม่ใช่ช่องทำเครื่องหมาย sysctl net.ipv4.conf.all.rp_filter แสดงค่าทั่วโลก และ sysctl net.ipv4.conf.tun0.rp_filter แสดงค่าตามอินเทอร์เฟซที่ใช้จริง อ่านทั้งสองก่อนและหลังการเปลี่ยนแปลงใด ๆ

ใช้คำแนะนำของดิสทริบิวชันและการออกแบบเส้นทางของคุณเอง จากนั้นยืนยันการตั้งค่าบนอินเทอร์เฟซที่บรรทุกอุโมงค์ ไม่ใช่ในไฟล์ที่ไม่มีใครโหลด

สิ่งที่ควรบันทึก

บันทึกข้อสมมติของผู้โจมตีข้างเคียง แพ็กเกจเคอร์เนลที่ใช้งาน แถวประกาศที่คุณจับคู่ มาตรการบรรเทาที่ใช้และตำแหน่งที่ใช้ และการป้องกันแอปพลิเคชันที่มีอยู่ เพิ่มวันที่คุณตรวจสอบประกาศ เพราะหน้าเหล่านั้นเปลี่ยนแปลง การรวมกันนั้นคือการประเมินที่ป้องกันได้

วันวางจำหน่ายระบบปฏิบัติการและการเชื่อมต่อ VPN ที่ใช้งานได้ไม่ใช่การประเมิน มันคือข้อเท็จจริงสองข้อที่บังเอิญเก็บได้ง่าย