TunnelCrack laban sa TunnelVision: ano talaga ang sinisira ng bawat isa

Dalawang pangalan ng pananaliksik ang ginagamit na palitan para sa anumang trapikong VPN na lumalabas sa tunnel, ngunit hindi pareho ang mga mekanismong nasa likod nila. Inilalarawan ng TunnelCrack ang dalawang pamilya ng eksepsiyon sa pagruruta; inilalarawan ng TunnelVision ang rutang ibinibigay ng DHCP sa end device. Wala sa dalawa ang bumabasag sa enkripsiyon, at wala sa dalawa ang nagsasabi kung ano ang ginagawa ng isang partikular na build ng kliyente ngayon. Limang pagsusuri ang naghihiwalay sa mga mekanismo mula sa headline.

Unang hakbang: pangalanan ang mekanismong sinusuri mo

Inilalarawan ng pagbubunyag ng TunnelCrack noong Agosto 2023 ang dalawang pamilya ng pag-atake. Sa kaso ng lokal na network, ang trapikong itinuturing ng kliyente na bahagi ng lokal na network ay kumukuha ng eksepsiyon sa lokal na pag-access at lumalabas sa tunnel. Sa kaso ng address ng server, ang rutang kailangan ng kliyente upang maabot ang server ng VPN mismo ay nasa labas ng tunnel, at ang kalabang kumokontrol sa address na iyon ay maaaring samantalahin ang eksepsiyon.

Ang TunnelVision ay isang hiwalay na ulat tungkol sa mga static na rutang walang klase na ibinibigay ng DHCP. Ang malisyosong server ng DHCP ay maaaring magbigay sa end device ng mga rutang nagbabago sa daraanan ng trapiko, kabilang ang daan patungo sa server ng VPN. Kinikilala ng ulat ang naunang gawain tungkol sa kaugnay na mga epekto ng pagruruta, na nagpapaalala na ang saligang mekanismo ay mas matanda kaysa sa pangalan.

Panatilihing nakatali ang mga pangalan sa kanilang mga mekanismo. Ang paglalapat ng pagwawasto sa isa dahil ang iba ay nasa balita ay ang paraan kung paano gumagawa ng galaw ang isang pagsusuri nang walang saklaw.

Ikalawang hakbang: tingnan ang eksepsiyon sa lokal na pag-access

Karamihan sa mga kliyente ay nagbubukod ng trapiko sa lokal na network upang patuloy na gumana ang mga printer, screen casting at file sharing habang nakaupo ang tunnel. Ang eksepsiyon na iyon ay isang desisyon sa patakaran na may gastos sa seguridad: ang kalaban sa parehong network ay maaaring magpakilala bilang lokal na host, at ang trapikong nakakarating dito ay hindi kailanman pumasok sa tunnel.

Itanong kung kailangan talaga ng naka-deploy na profile ang eksepsiyon. Ang malayong manggagawa na hindi kailanman gumagamit ng lokal na pagtuklas ay madalas na maaaring patayin ito, at ang natitirang lokal na serbisyo ay maaaring maabot sa dokumentadong landas. Kung saan kailangan ang eksepsiyon, sabihin kung aling mga destinasyon ang sakop nito sa halip na ilarawan ito bilang lokal na trapiko.

Ang pagsusuri ay tanong sa konfigurasyon, hindi paghuli ng packet. Basahin ang setting ng profile at dokumentasyon ng kliyente para sa build na ide-deploy mo, dahil iba ang default sa pagitan ng mga produkto at ng mga bersyon ng parehong produkto. Isulat ang sagot sa tabi ng profile, upang hindi na kailangang hanguin ito ng susunod na tagasuri mula sa pag-uugali. Ang eksepsiyon na walang naidokumento ay eksepsiyon na walang sinusuri.

Ikatlong hakbang: tingnan kung paano natututuhan ang address ng server

Kailangang maabot ng kliyente ang server ng VPN bago umiral ang anumang tunnel, kaya ang destinasyong iyon ay irinuruta sa labas ng tunnel ayon sa disenyo. Kung ang address ay natututuhan mula sa isang pangalan, ang hakbang ng resolusyon ay bahagi ng landas ng pagtitiwala, at ang kalabang makasasagot sa query na iyon ay maaaring magturo sa kliyente patungo sa host na kontrolado niya.

Ang pag-pin ng address, paggamit ng verified na sertipiko na may tamang pangalan at pagtangging bumalik sa hindi verified na server ay lahat nagpapababa ng pagkakalantad. Wala sa mga ito ang nag-aalis ng pangangailangang maabot ang server sa labas ng tunnel; binabago nila kung sino ang makasasagot para sa address na iyon.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Ipinapakita ng paghahanap ng ruta ang interface na gagamitin ng kliyente para sa address ng server, at iyon ang eksepsiyon sa konkretong anyo. Kung ibabalik ng paghahanap na iyon ang interface ng tunnel, hindi man lang makakabuo ng tunnel ang kliyente, kaya inaasahan ang panlabas na ruta at ang tanong ay kung paano pinipili ang destinasyon nito.

Ikaapat na hakbang: tingnan ang mga rutang ibinibigay ng DHCP

Ang mga static na rutang walang klase ay nagbibigay-daan sa server ng DHCP na mamahagi ng mga entry sa routing table, at karaniwang tinatanggap ito ng end device nang hindi nagtatanong. Sa network kung saan ang kalaban ay makasasagot sa DHCP nang mas mabilis kaysa sa lehitimong server, ang mga entry na iyon ay maaaring maglihis ng trapikong inaakala ng gumagamit na nasa loob ng tunnel.

Ihambing ang mga ruta sa end device sa mga rutang inaasahan mo. Ang default na ruta o malawak na prefix na tumuturo sa lokal na gateway habang nakaupo ang tunnel ay ang tandang sulit imbestigahan, at ito ay nakikita nang walang anumang trapikong pag-atake.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Ang huling setting ay ang kontrol sa panig ng end device na inilalantad ng maraming kliyente at platform sa isang anyo o iba pa: huwag pansinin ang mga rutang ibinibigay ng network. Ang pagpatay sa awtomatikong pagtanggap ng ruta ay isang kompromiso, dahil pinapatay rin nito ang lehitimong split routing mula sa corporate DHCP server, kaya pagpasyahan ito ayon sa klase ng network at hindi pandaigdigan.

Ikalimang hakbang: paghiwalayin ang abiso sa kasalukuyang build

Inilalarawan ng publikadong pag-atake ang pag-uugaling naobserbahan sa ilang bersyon ng kliyente sa isang takdang panahon. Hindi nito pinatutunayan na apektado ang laptop sa harap mo, at hindi nito pinatutunayan na naayos na ito. Ang dalawang pahayag ay nangangailangan ng aktwal na numero ng build at kasalukuyang abiso ng vendor.

Itala ang bersyon ng kliyente, platform, mga setting ng profile na namamahala sa mga eksepsiyon sa itaas at ang petsang sinuri mo. Ang rekord na iyon ay tumatanda nang tapat, samantalang ang tala na nagsasabing na-patch ang VPN para sa TunnelCrack ay hindi tumatanda nang tapat. Basahin itong muli tuwing mag-a-update ang kliyente, dahil ang default ng profile ay maaaring magbago sa ilalim ng bersyong hindi mo ginalaw.

Kapag totoong nagbe-validate ka, gumamit ng aprubadong plano laban sa sarili mong end device at sa isang hindi mapaminsalang destinasyon. Ang paggawa muli ng pag-atake laban sa ibang gumagamit sa pinagsasaluhang network ay hindi pagsubok, at ang pagpatay sa peer verification o enkripsiyon ng aplikasyon upang gawing mas madali ang obserbasyon ay nag-aalis ng proteksiyong sinusubukan mong sukatin.

Sa wakas, panatilihin ang proteksiyon sa antas ng aplikasyon sa larawan. Ang eksepsiyon sa pagruruta ay maaaring maglantad ng trapikong tatangayin sana ng tunnel, at pinoprotektahan pa rin ng TLS ng aplikasyon ang trapikong iyon mula dulo hanggang dulo. Independiyenteng nabigo ang dalawang sapin, kaya ang konektadong control channel ay hindi patunay na ang bawat daloy ay tumahak sa nilalayong landas.