Bạn có bị ảnh hưởng bởi CVE-2019-14899 không? Danh sách kiểm tra cho nhân

Một trình quét đánh dấu CVE-2019-14899 trên máy đã dùng VPN nhiều năm, và phản ứng đầu tiên là tuyên bố VPN hỏng. Đó là khung sai. Vấn đề được công bố liên quan đến kẻ tấn công trên mạng cục bộ của nạn nhân suy ra thông tin về một số kết nối TCP, không phải một trang web giải mã đường hầm của bạn.

Thực hiện bốn bước kiểm tra dưới đây theo thứ tự. Mỗi bước hoặc thu hẹp vấn đề hoặc kết thúc điều tra.

Kiểm tra 1: thông báo có bao gồm nhân của bạn không

Tra cứu hồ sơ của chính bản phân phối bạn dùng, không phải bản tóm tắt ngày phát hành trên blog. Trang bảo mật của Ubuntu cho CVE này liệt kê gói linux chung cho 18.04 LTS là dễ bị tổn thương với bản vá bị hoãn, và theo dõi các gói nhân khác trên các dòng riêng. Khớp bản phát hành đang chạy và gói nhân của bạn với đúng dòng. Một số phiên bản trông quen thuộc không phải là khớp.

Kết quả quét nghĩa là mã định danh áp dụng cho một thứ trong kiểm kê của bạn. Không có nghĩa là một thiết bị lân cận đã khai thác máy.

Kiểm tra 2: kẻ tấn công trong mô hình là ai

Mô hình mối đe dọa giả định một kẻ tấn công lân cận có thể tương tác với mạng truy cập của nạn nhân. Đó là một vị trí cụ thể, không phải dịch vụ từ xa tùy ý không thích nút thoát của bạn. Nếu người dùng kết nối từ quán cà phê thì giả định là thực tế; nếu họ ngồi sau một LAN doanh nghiệp được quản lý thì đó là câu chuyện khác.

Giữ câu hỏi về tin cậy mạng cục bộ luôn mở ngay cả khi đường hầm được mã hóa. Mã hóa trả lời một câu hỏi khác với sự lân cận.

Kiểm tra 3: bạn dựa vào tầng nào

HTTPS được xác thực đúng cung cấp bảo vệ riêng cho bản ghi ứng dụng, và TLS 1.3 xác thực dữ liệu đó từ đầu đến cuối. Nhưng nó không hứa rằng kẻ tấn công không thể ngắt kết nối TCP bên dưới. Vì vậy một ứng dụng có thể an toàn để đọc mà vẫn có thể bị ngắt, và ngắt không phải cùng kết quả với tiết lộ. Tách hai điều đó trước khi đánh giá rủi ro.

Sự phân biệt đó quan trọng với báo cáo. Nó biến tuyên bố mơ hồ rằng VPN không an toàn thành một phát biểu giới hạn về những gì kẻ tấn công lân cận có thể quan sát hoặc ngắt.

Kiểm tra 4: bạn thực sự đã triển khai biện pháp giảm thiểu nào

Công bố thảo luận các biện pháp giảm thiểu định tuyến và lọc và nói rõ về giới hạn của chúng, bao gồm lọc đường dẫn ngược và tuyến không đối xứng. Đừng dán một giá trị sysctl lên mọi máy chủ VPN rồi nói đã xử lý xong. Lọc đường dẫn ngược tương tác với định tuyến, nên một giá trị giúp một cấu trúc có thể phá hỏng cấu trúc khác.

Kiểm tra là một lệnh, không phải ô đánh dấu. sysctl net.ipv4.conf.all.rp_filter hiển thị giá trị toàn cục, và sysctl net.ipv4.conf.tun0.rp_filter hiển thị giá trị theo giao diện thực sự áp dụng. Đọc cả hai trước và sau mọi thay đổi.

Dùng hướng dẫn của bản phân phối và thiết kế định tuyến của riêng bạn, rồi xác nhận cài đặt trên giao diện mang đường hầm, không phải trong tệp mà không ai tải.

Những gì cần ghi lại

Ghi lại giả định về kẻ tấn công lân cận, gói nhân đang chạy, dòng thông báo bạn đã khớp, biện pháp giảm thiểu đã triển khai và nơi áp dụng, cùng các biện pháp bảo vệ ứng dụng hiện có. Thêm ngày bạn kiểm tra thông báo, vì những trang đó thay đổi. Sự kết hợp đó là một đánh giá có thể bảo vệ được.

Ngày phát hành hệ điều hành và kết nối VPN đang hoạt động không phải là đánh giá. Đó là hai sự thật tình cờ dễ thu thập.