Ele geçirilmiş bir ana makinede acil durdurma anahtarının neyi kapsadığı nasıl test edilir

Kesinti testini çalıştırın, her katmanın sonucunu okuyun ve acil durdurma anahtarının nerede durduğunu görün: yolları engeller, şifrelemeden önce veri okuyan yazılımı değil.

Acil durdurma anahtarını açın, tünel sunucusunu çevrimdışı yapın ve makinenin hâlâ ne yaptığını izleyin. Test buna değer, çünkü güvenlik duvarının gerçekte neyi uyguladığını sizin varsaydığınızdan ayırır ve sonuçlar çoğu ürün sayfasının ima ettiğinden dardır. Acil durdurma anahtarı ağ yollarını yönetir; cihazda zaten çalışan yazılımı yönetmez. Bu diziyi, istemcisi fail-closed olduğunu iddia eden her makinede çalıştırıyorum ve yaklaşık on dakika sürüyor.

Sunucudan değil, istemciden başlayın

Uygulama noktası, oturduğunuz ana makinedir: işletim sistemi güvenlik duvarı, bir yardımcı hizmet veya VPN istemcisinin kendi sürücüsü. Bu önemlidir çünkü anahtarın yapabileceği her şey o katmanın gördükleriyle sınırlıdır. İstemci engellemeyi bir yönlendirme kuralı ve işaretle uyguluyorsa, yeterli ayrıcalığa sahip her şey kendi kuralını ekleyebilir; çekirdek güvenlik duvarı tablosu kullanıyorsa aynı ayrıcalık tabloyu düzenleyebilir. Şifrenin gücü bu soruya hiç girmez.

Bu yüzden önce bu cihazdaki ilkenin kime ait olduğu ve neyi geçersiz kılabileceği belirlenmelidir. Yönetilen bir iş makinesinde yanıt genellikle kuruluşun uç nokta aracısıdır ve kişisel bir VPN, tünel nasıl yapılandırılmış olursa olsun bu yetenekleri ortadan kaldırmaz.

Birinci adım: kapsadığını düşündüğünüz yollarda engellemeyi doğrulayın

Tüneli istemcide değil, uzak uçta düşürün, böylece istemci hâlâ bağlı olması gerektiğine inanır. Ardından bir kişinin gerçekten deneyeceğini deneyin:

curl -m 5 -sS -o /dev/null -w '%{http_code}
' https://example.com
ping -c 2 1.1.1.1
ip route
nft list ruleset   # or: iptables -S

Hızlı ve temiz başarısız olan bir istemci istersiniz, tarayıcının zaman aşımına kadar asılı kalan değil. Asılma genellikle paketlerin reddetmesiz bir kuralla sessizce düşürüldüğü anlamına gelir; bu kabul edilebilir, ama istemcinin ölü bir arayüze yönelen eski varsayılan rotayı bıraktığı anlamına da gelebilir. Tünel kapalıyken yönlendirme tablosunu okuyun: hâlâ tünel cihazını gösteren varsayılan rota ile yalnızca yeni giden bağlantıları engelleyen güvenlik duvarı kuralı iki farklı durumdur ve yalnızca biri fail-closed'dır.

Aynı komutları istemcinin allow-LAN seçeneği açık ve kapalıyken yineleyin. O anahtar sürprizlerin çoğunun yaşadığı yerdir, çünkü ilkenin geri kalanının kapatmak için yazıldığı yolu yeniden açar.

İkinci adım: DNS ve IPv6'yı ayrı yollar olarak denetleyin

Ad çözümlemesi, çoğu uygulamadan sağ çıkan boşluktur, çünkü sorgu sistem çözümleyicisi dışında bir şeyden çıkabilir. Çözümleyici yapılandırmanızı yok sayan bir araçla sorun ve orada v6 tarafını da denetleyin:

dig +short example.com
dig +short @1.1.1.1 example.com
curl -6 -m 5 -sS https://example.com -o /dev/null -w '%{http_code}
'
ip -6 route

Tünel kapalıyken her iki ad sorgusuna boş yanıtlar istediğiniz sonuçtur. İkinci sorgu yanıtlarsa, sabit kodlanmış bir çözümleyici adresine erişilebilir ve tünel makineden çıkışın tek yolu değildir. Yalnızca v6 isteği başarılı olursa, ilke IPv4'ü kapsar ve IPv6'yı yok sayar; bu, başka bir adres ailesindeki aynı sızıntıdır.

Tarayıcılar bunu dışarıdan okumayı zorlaştırır, çünkü DNS over HTTPS için yapılandırılmış bir tarayıcı sorguyu bir HTTPS isteğiyle çözer: sorgu yalnızca o uç noktaya giden 443 kapısı ne kadar engelliyse o kadar engellenir. İlkenin yerel alt ağa izin verdiği bir ana makinede bu istek hâlâ LAN'daki bir çözümleyiciye ulaşabilir.

Üçüncü adım: ağ maruziyetini uç nokta maruziyetinden ayırın

Şimdi hiçbir güvenlik duvarı kuralının ulaşmadığı bölüm. Acil durdurma anahtarı makineden çıkan yolları engeller; makinedeki yazılımın şifrelemeden önce veri okumasını engellemez ve o yazılımın tüneli meşru biçimde kullanmasını da engellemez. Bir tuş kaydedici, kötü niyetli bir uzantı, kilidi açık bırakılmış bir ekran, geniş izinli bir eşitleme istemcisi: hepsi anahtarın memnuniyetle izin verdiği bir bağlantı üzerinden bilgi taşır.

Aynısı bir işverenin bilerek kurduğu izleme yazılımı için de geçerlidir. Rotaları engellemek onu ortadan kaldırmaz ve yeni bir VPN sunucusu satın almak onarım değildir, çünkü maruziyet tünelin önündedir.

Bulut hesabına yükleyen bir pano yöneticisi bunu keskin biçimde gösterir. Trafik şifrelidir, hedef izinlidir ve acil durdurma anahtarı her zaman sağlıklı durum bildirir.

Dördüncü adım: testinizin desteklediği iddiayı yazın

Kesinti testinden sonra somut olgular söyleyebilirsiniz: hangi uygulamalar başarısız oldu, hangi yollar durdu, DNS ve IPv6 nasıl davrandı ve tünel düştüğünde engelleme dayandı mı. İşletim sisteminin temiz olduğunu söyleyemezsiniz ve uzak uçtaki bir hizmetin oturum açmanızı gizli tutacağını da söyleyemezsiniz.

İki sorunu ayrı tutun ve her birine kendi denetimini verin:

  • Acil durdurma anahtarı: tanımlı başarısızlık gereksinimi; her istemci yükseltmesinden sonra yinelediğiniz kesinti testiyle doğrulanır.
  • Cihaz güveni: desteklenen güncellemeler, güvenilir kaynaktan uç nokta koruması, açıklanamayan izinlerin ve kimlik doğrulama istemlerinin gözden geçirilmesi.
  • Olay: ele geçirilme şüphesinde platformun veya kuruluşun sürecini izleyin; yeni sunucu bir temizlik adımı değildir.
  • Açıklama: yardım isterken özel anahtarları veya tam tanılama arşivlerini yapıştırmayın, çünkü günlükler ve ekran görüntüleri bağlantıyla aynı sırları taşır.

Bir sonraki güncellemeden sonra diziyi yeniden çalıştırın, çünkü acil durdurma anahtarı sürümlerle birlikte hareket eden bir yapılandırmadır. Test, güvendiğiniz davranışın hâlâ elde ettiğiniz davranış olduğunun tek kanıtıdır.

İlgili makaleler