Bu güvenlik açığı bulgusu hangi VPN sürecini etkiliyor?

Bir tarayıcı sonucu bir adres, bir port ve orada müzakere edilen bir şeyi adlandırır. O soketin arkasındaki süreci adlandırmaz ve bir VPN ana bilgisayarında birkaç süreç makineyi paylaşabilirken yalnızca biri tüneldir. Bir yan yardımcıdan sürüm dizesi okumak veya diskte kütüphane dosyası bulmak ana bilgisayar hakkında kanıt ekler, dinleyici hakkında değil. Bulgu ancak çalışan tek bir bileşene bağlandığında ve ardından bir bültenin gerçekte belirttiği kapsamla eşleştirildiğinde eyleme geçirilebilir olur.

Sıra önemlidir: önce bileşen, ikinci bülten, üçüncü düzeltme.

Rapor bir programı değil, portu adlandırır

Gerçekte değerlendirilen uç noktadan başlayın. HTTPS yönetim portuna karşı bir sonda web hizmetini, TLS yığınını ve önündeki herhangi bir proxy'yi ölçtü; başka bir porttaki OpenVPN veya WireGuard dinleyicisi hakkında hiçbir şey öğrenmedi. Ters proxy'ler ve yönetim aracıları bunu daha da kötüleştirir, çünkü sertifika ve banner ön uca ait olabilirken savunmasız kütüphane arkasında bir arka uç sürecinde durur.

Hedefi, taşımayı, portu ve hizmet adını sonuçla birlikte kaydedin ki kapsam bulguyla birlikte yol alsın.

Çalışan derleme gerçekte nedir

Genel amaçlı bir ana bilgisayarda kurulu paket ve yüklenen kütüphane iki ayrı sorudur. Paket veritabanı yamalanmış bir sürümü listeleyebilirken uzun süredir çalışan bir daemon hâlâ eski paylaşılan nesneyi bellekte tutar ve paketlenmiş bir cihaz imajı, hiçbir paket yöneticisinin bildirmediği kendi kütüphanelerini taşıyabilir. Hizmet yöneticisine neyin çalıştığını sorun, ardından süreci ve bağlantılarını inceleyin.

systemctl status openvpn-server@server --no-pager
ps -o pid,lstart,args -C openvpn
ss -lntup | grep -E '1194|443'
dpkg -l | grep -i -E 'openvpn|libssl'
ldd "$(command -v openvpn)" | grep -i ssl

Süreç listesindeki başlangıç zamanı, insanların atladığı ayrıntıdır. Son paket yükseltmesinden önce başlatılan bir daemon hâlâ açılışta yüklediği derlemeyi çalıştırır ve envanterin yamalandı, soketin ise başka bir şey söylediği durum tam olarak budur.

Derlemeyi bir bültenin kapsamıyla eşleştirmek

Bültenler ürünleri, sürümleri ve bazen gerekli koşulları tanımlar ve bu üç alan her zaman bir paket sürümüyle örtüşmez. OpenVPN'in Nisan 2014 Heartbleed bülteni, etkilenen Access Server sürümlerini farklı maruziyete sahip web hizmetlerinden ve VPN daemonlarından ayırdığı için yararlı bir tarihsel örnektir. Ders, OpenSSL kelimesini kalıpla eşleştirmek yerine metnin hangi bileşeni kapsadığını okumaktır.

Bu bülten de eskimiştir. Yamalanmış sürüm numaraları artık kurulum tavsiyesi değildir ve 2014'te düzeltilen bir kusur, bugün çalıştırdığınız daldaki sonraki sorunlar hakkında hiçbir şey söylemez.

Anlaşmazlığı çözmek, sonra maruziyeti kapatmak

Envanter ve değerlendirme uyuşmadığında, ikisinin de aynı uç noktayı ve aynı çalışma ortamını tanımlayıp tanımlamadığını kontrol edin: başka bir adres, bir ön uç proxy'si, ikinci bir hizmet, hâlâ porta bağlı eski bir süreç veya paket yöneticisinin hiç görmediği paketlenmiş bir kütüphane. Bir raporu yeniden yazmadan önce bunu sınırda çözün.

Desteklenen düzeltmeyi uygulayın, etkilenen hizmeti yeniden başlatın ve yeni derlemenin şu anda çalışan olduğunu doğrulayın. Diskte yamalanmış bir dosya varken eski süreç hâlâ trafiğe hizmet ediyorsa bu düzeltme değildir.

Ardından bileşenin maruziyet penceresi boyunca tutmuş olabileceği şeylerle ilgilenin. Yama uygulamak ve kimlik bilgilerini değiştirmek farklı soruları yanıtlar ve etkilenen ana bilgisayarın yakınında saklanan bir sertifika kendi başına sızanların listesi değildir. İptal, oturum kaldırma ve istemci güncellemeleri için olay sahibinin prosedürünü izleyin ve hangi bileşenin etkilendiğini, kanıtların neden geçerli olduğunu ve neyin bunu kapattığını kaydedin. Daha sonraki bir incelemenin okuyacağı kayıt budur.