VPN shlyuzingiz buzilgan: aslida nima oshkor bo'lgan
Buzilgan VPN shlyuzi o'z tunnelining ichini ko'radi, lekin bu har bir sessiyani egallash degani emas. Tiklashdan oldin trafikni, yetib borishni va saqlangan sirlarni ajrating.
VPN shlyuzi o'zi himoya qiladigan tunnelning oxirida turadi, ya'ni u bu shifrlashni o'tkazmaydi, yakunlaydi. Agar hujumchi xostni boshqarsa, tunnel tashqaridan hanuz sog'lom ko'rinadi, o'rtadagi mashina esa endi ishonchli emas. Foydali savol hamma narsa shifrdan chiqariladimi degani emas. Savol shundaki, o'sha xost nima ko'rishi mumkin edi, qayerga yetib borishi mumkin edi va unda qanday sirlar haqiqatan saqlangan edi. Bu uch javob juda farq qiladi va javob choralari ham ular bilan farqlanadi.
Shlyuz tunnelni yakunlaydi, shuning uchun ichini ko'radi
VPN'da shifrlash sakrashma-sakrash boradi va shlyuz o'sha sakrashdir. U tashqi qatlamni olib tashlaydi, siyosatni qo'llaydi va ichki paketni uzatadi, shuning uchun tashiladigan har bir paket bir paytda o'sha xost xotirasida o'qiladigan shaklda bo'ladi. Bu dizayn, nuqson emas. Shuning uchun shlyuzning buzilishi tunnel kriptografiyasining buzilishidan boshqa hodisa.
Hujumchi birinchi navbatda egallaydigan narsa — mavqe: tashiladigan trafikni kuzatish, uzatishni o'zgartirish yoki backend o'rniga javob berish qobiliyati. Keyin nima olishi xostga bog'liq va bu yerda odamlar ortiqcha baholaydi. Faqat shlyuzga kirish brauzerning TLS sessiya kalitlarini bermaydi, chunki ular hech qachon shlyuzda bo'lmagan.
Bir xil o'lchamda bo'lmagan uchta oshkor
Savolni tashiladigan trafik, yetib borish mumkin bo'lgan tizimlar va saqlangan sirlarga bo'ling, so'ng har biriga alohida javob bering.
| Exposure | What the attacker gains | What does not follow |
|---|---|---|
| Carried traffic | Plaintext of whatever the tunnel forwards without its own encryption | Keys for TLS sessions that terminate at the application |
| Reachable systems | Whatever the backends accept from the gateway's address | Control of every connected client endpoint |
| Stored secrets | The specific keys, tokens and accounts present on that host | Possession of every client certificate or of a CA key |
O'rta qator — chetlab o'tiladigan qator. Shlyuzda odatda xususiy tarmoqlarga yo'l va backend'lar allaqachon ishonadigan manba manzili bo'ladi, shuning uchun qiziqarli savol o'sha backend'lar bu manzildan nimaga ruxsat berishidir. Tor mijoz kirish siyosati yaxshi nazorat, lekin xostdagi hujumchi oddiy mijoz ishlatadigan interfeys bilan cheklanmaydi.
Pastki qator hodisa qancha davom etishini hal qiladi. Server kaliti va CA kaliti butunlay boshqa ta'sir radiusiga ega, xuddi mahalliy administrator hisobi va faqat o'qish uchun monitoring tokeni kabi.
Tunnel ichidagi HTTPS hanuz HTTPS
Ilovaning TLS'i VPN shlyuzida emas, ilovada yakunlanadi, shuning uchun buzilgan shlyuz bu oqimlar uchun faqat shifrlangan matnni kuzatadi. Bu hujumchi oladigan narsaga haqiqiy chegara va buni ochiq aytish kerak, chunki qarama-qarshi da'vo vahima va yomon qarorlar tarqatadi. Ikki shart buni buzadi. Agar yo'lda ishonchli sertifikatga ega tekshiruv komponenti bo'lsa, shlyuz dizayn bo'yicha ochiq matnni ko'rishi mumkin. Agar ilovaning oxirgi nuqtasi o'zi buzilgan bo'lsa, tunnel ahamiyatsiz.
Shuning uchun ular nima ko'rgani haqidagi javob shartli va uni hukm sifatida e'lon qilish o'rniga shartlar sifatida yozish kerak.
Qayta ishonishdan oldin nima o'zgarishi kerak
Xostni qayta qurish zarur va kamdan-kam yetarli. Hali ham boshqaruv hisobi, joylashtirish ishonchnomasi yoki imzo kaliti bo'lgan hujumchi xostni o'zi xohlagandek qaytarishi mumkin. Tiklash buzilgan mashinaga bog'liq bo'lmagan ma'muriy yo'ldan boshlanishi kerak.
Nimani almashtirishni hal qilishdan oldin unda nima borligini ro'yxatga oling. Kalitlar, xizmat hisoblari, API tokenlari, mahalliy foydalanuvchilar, rejalashtirilgan ishlar, ishonch munosabatlari va joylashtirish quvuri — barchasi nomzod va har birining tasdiqlashi kerak bo'lgan egasi bor.
ss -lntup
getent passwd
crontab -l
ip route show table allBu ro'yxat xost nima taklif qilganini va qayerga yetib borishini ko'rishning eng tez usuli. Avval dalillarni saqlang, javob egasining jarayoniga ko'ra, chunki qayta qurish tergovga kerak bo'lgan narsaning o'zini yo'q qiladi. NIST SP 800-61 3-tahriri tayyorgarlik, aniqlash, javob va tiklashni qayta ishga tushirish yo'riqnomasi sifatida emas, bitta xavf jarayonining qismlari deb qaraydi.
Keyingisini arzonlashtiradigan chegaralar
To'rt chegarani kerak bo'lishidan oldin qurishga arziydi. Shlyuz orqali autentifikatsiya qilmaydigan mustaqil tiklash yo'lini saqlang. Imzo vakolatini trafikka xizmat qiladigan xostdan alohida saqlang. Shlyuz qayerga yetib borishini cheklang, shunda buzilgan shlyuz avtomatik buzilgan boshqaruv tarmog'iga aylanmaydi. Va har bir ishonchnoma kimga tegishli ekanini yozib qo'ying, shunda almashtirish arxeologiya loyihasi emas, bitta telefon qo'ng'irog'i bo'ladi.
Bularning hech biri buzilishning oldini olmaydi. Ular uni chegaralaydi va yomon hafta bilan yomon chorak o'rtasidagi farqni yaratadi.