Ang iyong VPN gateway ay na-kompromiso: ano ang talagang nakalantad
Ang na-hack na VPN gateway ay nakikita ang loob ng sarili nitong tunnel, ngunit hindi iyon ang pagkontrol sa bawat sesyon. Paghiwalayin ang trapiko, abot at mga nakatagong sekreto bago ang pagbawi.
Ang VPN gateway ay nasa dulo ng tunnel na pinoprotektahan nito, ibig sabihin, tinatapos nito ang encryption na iyon kaysa ipinapasa ito. Kung kontrolado ng attacker ang host, mukhang malusog pa rin ang tunnel mula sa labas habang ang makina sa gitna ay hindi na mapagkakatiwalaan. Ang kapaki-pakinabang na tanong ay hindi kung lahat ay na-decrypt. Ito ay kung ano ang nakita ng host na iyon, hanggang saan ito nakarating, at aling mga sekreto ang talagang nakaimbak dito. Malaki ang pagkakaiba ng tatlong sagot, at nagkakaiba rin ang tugon kasama nila.
Tinatapos ng gateway ang tunnel, kaya nakikita nito ang loob
Ang encryption sa VPN ay hop by hop, at ang gateway ang hop. Inaalis nito ang panlabas na layer, inilalapat ang patakaran at ipinapasa ang panloob na packet, kaya bawat packet na dinala ay umiiral sa nababasang anyo sa memory ng host na iyon sa isang punto. Iyon ay disenyo at hindi depekto. Ito rin ang dahilan kung bakit ang kompromiso ng gateway ay ibang pangyayari kaysa kompromiso ng cryptography ng tunnel.
Ang unang nakukuha ng attacker ay posisyon: ang kakayahang obserbahan ang dinalang trapiko, baguhin ang pagpapasa, o tumugon kapalit ng isang backend. Ang susunod na nakukuha nila ay depende sa host, at dito nag-o-overestimate ang mga tao. Ang pag-access sa gateway lamang ay hindi nagbibigay ng TLS session keys ng browser, dahil hindi kailanman naroon ang mga iyon sa gateway.
Tatlong paglantad na hindi pantay ang laki
Hatiin ang tanong sa dinalang trapiko, naaabot na sistema at nakatagong sekreto, pagkatapos sagutin ang bawat isa nang hiwalay.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Ang gitnang hilera ang madalas laktawan. Ang gateway ay karaniwang may ruta papasok sa mga pribadong network at source address na pinagkakatiwalaan na ng mga backend, kaya ang kawili-wiling tanong ay kung ano ang pinapayagan ng mga backend na iyon mula sa address na iyon. Ang makitid na patakaran sa pag-access ng kliyente ay mabuting kontrol, ngunit ang attacker sa host ay hindi limitado sa interface na gagamitin ng normal na kliyente.
Ang ibabang hilera ang nagtatakda kung gaano katagal ang insidente. Ang server key at CA key ay may ganap na magkaibang saklaw ng epekto, gayundin ang lokal na admin account at read-only monitoring token.
Ang HTTPS sa loob ng tunnel ay HTTPS pa rin
Ang TLS ng application ay nagtatapos sa application, hindi sa VPN gateway, kaya ang kompromisadong gateway ay nakakita lamang ng ciphertext para sa mga flow na iyon. Iyon ay tunay na hangganan ng nakukuha ng attacker, at sulit sabihin nang malinaw, dahil ang kabaligtarang pahayag ay nagkakalat ng gulat at masamang desisyon. Dalawang kondisyon ang sumisira nito. Kung may inspection component na may pinagkakatiwalaang certificate sa landas, maaaring makita ng gateway ang plaintext ayon sa disenyo. Kung ang endpoint mismo ng application ay na-kompromiso, walang kinalaman ang tunnel.
Kaya ang sagot sa kung ano ang nakita nila ay may kondisyon, at dapat itong isulat bilang mga kondisyon kaysa ipahayag bilang hatol.
Ano ang dapat magbago bago muling magtiwala
Ang muling pagbuo ng host ay kailangan at bihirang sapat. Ang attacker na may hawak pa ng management account, deployment credential o signing key ay maaaring ibalik ang host ayon sa kanyang gusto. Ang pagbawi ay dapat magsimula sa isang administrative path na hindi umaasa sa kompromisadong makina.
Bago magpasya kung ano ang i-rotate, gumawa ng imbentaryo ng kung ano ang naroon. Mga key, service account, API token, lokal na user, naka-iskedyul na trabaho, trust relationship at deployment pipeline ay lahat kandidato, at bawat isa ay may may-ari na dapat kumpirmahin ito.
ss -lntup
getent passwd
crontab -l
ip route show table allAng listahang iyon ang pinakamabilis na paraan upang makita kung ano ang inaalok ng host at hanggang saan ito nakarating. Panatilihin muna ang ebidensya, ayon sa proseso ng may-ari ng tugon, dahil ang muling pagbuo ay sumisira sa eksaktong kailangan ng imbestigasyon. Itinuturing ng NIST SP 800-61 Rebisyon 3 ang paghahanda, pagtuklas, pagtugon at pagbawi bilang mga bahagi ng isang proseso ng panganib, hindi bilang tagubilin sa muling pag-restart.
Mga hangganan na nagpapamura sa susunod
Sulit na magtayo ng apat na hangganan bago mo kailanganin. Panatilihin ang independiyenteng recovery path na hindi nagpapatunay sa pamamagitan ng gateway. Panatilihing hiwalay ang signing authority mula sa host na nagseserbisyo ng trapiko. Limitahan kung hanggang saan maaaring makarating ang gateway, upang ang kompromisadong gateway ay hindi awtomatikong kompromisadong management network. At itala kung kanino ang bawat credential, upang ang rotation ay isang tawag sa telepono kaysa proyekto sa arkeolohiya.
Wala sa mga ito ang pumipigil sa kompromiso. Nililimitahan nila ito, at gumagawa sila ng pagkakaiba sa pagitan ng masamang linggo at masamang quarter.