VPN ağ geçidiniz ele geçirildi: gerçekte ne açığa çıkıyor
Ele geçirilen bir VPN ağ geçidi kendi tünelinin içini görür, ama bu her oturumu ele geçirmek değildir. Kurtarmadan önce trafiği, erişimi ve saklanan sırları ayırın.
Bir VPN ağ geçidi, koruduğu tünelin sonunda durur; yani bu şifrelemeyi geçirmez, sonlandırır. Bir saldırgan sunucuyu kontrol ederse, tünel dışarıdan hâlâ sağlıklı görünürken ortadaki makine artık güvenilir değildir. Yararlı soru her şeyin şifresinin çözülüp çözülmediği değildir. Soru, o sunucunun neyi görebildiği, nereye ulaşabildiği ve üzerinde hangi sırların gerçekten saklandığıdır. Bu üç yanıt büyük ölçüde farklıdır ve müdahale de onlarla birlikte farklıdır.
Ağ geçidi tüneli sonlandırır, bu yüzden içini görür
VPN'de şifreleme atlama atlama gerçekleşir ve ağ geçidi o atlamadır. Dış katmanı sıyırır, ilke uygular ve iç paketi iletir, bu yüzden taşınan her paket bir noktada o sunucunun belleğinde okunabilir biçimde bulunur. Bu bir tasarım, kusur değil. Bu nedenle ağ geçidinin ele geçirilmesi, tünelin kriptografisinin ele geçirilmesinden farklı bir olaydır.
Saldırganın ilk kazandığı şey konumdur: taşınan trafiği gözlemleme, iletmeyi değiştirme veya bir backend yerine yanıt verme yeteneği. Sonra ne kazanacağı sunucuya bağlıdır ve burada insanlar abartır. Yalnızca ağ geçidine erişim, tarayıcının TLS oturum anahtarlarını vermez, çünkü bunlar hiçbir zaman ağ geçidinde olmadı.
Aynı büyüklükte olmayan üç açığa çıkma
Soruyu taşınan trafik, erişilebilir sistemler ve saklanan sırlar olarak bölün, sonra her birine ayrı ayrı yanıt verin.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
Ortadaki satır atlanan satırdır. Ağ geçidinin genellikle özel ağlara bir rotası ve backend'lerin zaten güvendiği bir kaynak adresi vardır, bu yüzden ilginç soru bu backend'lerin o adresten neye izin verdiğidir. Dar bir istemci erişim ilkesi iyi bir kontroldür, ama sunucudaki saldırgan normal bir istemcinin kullanacağı arayüzle sınırlı değildir.
Alt satır olayın ne kadar süreceğine karar verir. Bir sunucu anahtarı ile bir CA anahtarının etki yarıçapları tamamen farklıdır; yerel bir yönetici hesabı ile salt okunur bir izleme belirteci için de durum aynıdır.
Tünel içindeki HTTPS hâlâ HTTPS
Uygulamanın TLS'i VPN ağ geçidinde değil, uygulamada sonlanır, bu yüzden ele geçirilmiş ağ geçidi o akışlar için yalnızca şifreli metin görür. Bu, saldırganın elde ettiği şeyin gerçek bir sınırıdır ve açıkça söylenmeye değer, çünkü karşıt iddia panik ve kötü kararlar yayar. İki koşul bunu bozar. Yolda güvenilir sertifikaya sahip bir denetim bileşeni varsa, ağ geçidi tasarım gereği düz metni görebilir. Uygulamanın uç noktası kendisi ele geçirilmişse tünel önemsizdir.
Bu nedenle ne gördükleri sorusunun yanıtı koşulludur ve bir hüküm olarak duyurulmak yerine koşullar olarak yazılmalıdır.
Tekrar güvenmeden önce neyin değişmesi gerekir
Sunucuyu yeniden kurmak gereklidir ve nadiren yeterlidir. Hâlâ bir yönetim hesabı, bir dağıtım kimlik bilgisi veya bir imzalama anahtarı tutan saldırgan, sunucuyu istediği gibi geri getirebilir. Kurtarma, ele geçirilmiş makineye bağlı olmayan bir yönetim yolundan başlamalıdır.
Neyin döndürüleceğine karar vermeden önce üzerinde ne olduğunu envanterleyin. Anahtarlar, hizmet hesapları, API belirteçleri, yerel kullanıcılar, zamanlanmış işler, güven ilişkileri ve dağıtım işlem hattı hepsi adaydır ve her birinin bunu onaylaması gereken bir sahibi vardır.
ss -lntup
getent passwd
crontab -l
ip route show table allBu liste, sunucunun ne sunduğunu ve nereye ulaşabildiğini görmenin en hızlı yoludur. Önce kanıtları koruyun, müdahale sahibinin sürecine göre, çünkü yeniden kurma tam olarak bir soruşturmanın ihtiyaç duyduğu şeyi yok eder. NIST SP 800-61 Revizyon 3, hazırlık, tespit, müdahale ve kurtarmayı yeniden başlatma talimatı olarak değil, tek bir risk sürecinin parçaları olarak ele alır.
Bir sonrakini ucuzlatan sınırlar
İhtiyaç duymadan önce dört sınır inşa etmeye değer. Ağ geçidi üzerinden kimlik doğrulamayan bağımsız bir kurtarma yolu tutun. İmzalama yetkisini trafiğe hizmet eden sunucudan ayrı tutun. Ağ geçidinin nereye ulaşabileceğini sınırlayın, böylece ele geçirilmiş bir ağ geçidi otomatik olarak ele geçirilmiş bir yönetim ağı olmasın. Ve her kimlik bilgisinin kime ait olduğunu kaydedin, böylece döndürme bir arkeoloji projesi değil, bir telefon görüşmesi olsun.
Bunların hiçbiri ele geçirilmeyi engellemez. Onu sınırlarlar ve kötü bir hafta ile kötü bir çeyrek arasındaki farkı yaratırlar.