TunnelCrack so với TunnelVision: mỗi bên thực sự phá vỡ điều gì

Hai tên nghiên cứu được dùng thay thế cho nhau cho mọi lưu lượng VPN rời khỏi đường hầm, nhưng các cơ chế đằng sau chúng không giống nhau. TunnelCrack mô tả hai họ ngoại lệ định tuyến; TunnelVision mô tả một tuyến do DHCP cung cấp trên thiết bị đầu cuối. Cả hai đều không phá vỡ mã hóa, và cả hai đều không cho bạn biết một bản dựng máy khách cụ thể làm gì hôm nay. Năm bước kiểm tra tách cơ chế khỏi tiêu đề.

Bước một: gọi tên cơ chế bạn đang xem xét

Công bố TunnelCrack vào tháng Tám năm 2023 mô tả hai họ tấn công. Trong trường hợp mạng cục bộ, lưu lượng mà máy khách coi là thuộc mạng cục bộ nhận một ngoại lệ truy cập cục bộ và rời khỏi đường hầm. Trong trường hợp địa chỉ máy chủ, tuyến mà máy khách cần để đến chính máy chủ VPN nằm ngoài đường hầm, và kẻ đối kháng kiểm soát địa chỉ đó có thể lợi dụng ngoại lệ.

TunnelVision là một báo cáo riêng về các tuyến tĩnh không lớp do DHCP cung cấp. Một máy chủ DHCP độc hại có thể cấp cho thiết bị đầu cuối những tuyến làm thay đổi đường đi của lưu lượng, kể cả đường đến máy chủ VPN. Báo cáo ghi nhận công trình trước đó về các hiệu ứng định tuyến liên quan, điều này nhắc rằng cơ chế nền tảng cũ hơn cái tên.

Hãy gắn tên với cơ chế của chúng. Áp dụng bản sửa cho bên này vì bên kia đang trên bản tin là cách một đợt rà soát tạo ra chuyển động mà không có độ phủ.

Bước hai: xem ngoại lệ truy cập cục bộ

Hầu hết máy khách miễn trừ lưu lượng mạng cục bộ để máy in, truyền màn hình và chia sẻ tệp tiếp tục hoạt động khi đường hầm đang bật. Ngoại lệ đó là một quyết định chính sách có chi phí bảo mật: kẻ đối kháng trên cùng mạng có thể tự giới thiệu là máy chủ cục bộ, và lưu lượng đến được nó chưa bao giờ vào đường hầm.

Hỏi xem hồ sơ được triển khai có thực sự cần ngoại lệ đó không. Lực lượng lao động từ xa không bao giờ dùng khám phá cục bộ thường có thể tắt nó, và các dịch vụ cục bộ còn lại có thể được tiếp cận qua một đường đi đã ghi lại. Ở nơi cần ngoại lệ, hãy nêu những đích nào nó bao phủ thay vì mô tả nó là lưu lượng cục bộ.

Việc kiểm tra là một câu hỏi cấu hình, không phải bắt gói. Đọc thiết lập hồ sơ và tài liệu máy khách cho bản dựng bạn triển khai, vì giá trị mặc định khác nhau giữa các sản phẩm và giữa các phiên bản của cùng một sản phẩm. Viết câu trả lời bên cạnh hồ sơ, để người rà soát tiếp theo không phải suy ra từ hành vi. Một ngoại lệ không ai ghi lại là ngoại lệ không ai rà soát.

Bước ba: xem địa chỉ máy chủ được học như thế nào

Máy khách phải đến được máy chủ VPN trước khi có bất kỳ đường hầm nào, vì vậy đích đó được định tuyến ra ngoài đường hầm theo thiết kế. Nếu địa chỉ được học từ một cái tên, bước phân giải là một phần của đường tin cậy, và kẻ đối kháng trả lời được truy vấn đó có thể hướng máy khách đến một máy chủ mà hắn kiểm soát.

Ghim địa chỉ, dùng chứng chỉ đã xác minh với tên đúng và từ chối quay về máy chủ chưa xác minh đều giảm mức phơi nhiễm. Không cái nào loại bỏ nhu cầu đến máy chủ bên ngoài đường hầm; chúng thay đổi ai có thể trả lời cho địa chỉ đó.

resolvectl query vpn.lab.example
ip route get 198.51.100.24
ip rule show

Tra cứu tuyến cho thấy giao diện mà máy khách sẽ dùng cho địa chỉ máy chủ, và đó là ngoại lệ ở dạng cụ thể. Nếu tra cứu đó trả về giao diện đường hầm, máy khách thậm chí không thể lập đường hầm, vì vậy một tuyến bên ngoài là điều dự kiến và câu hỏi chỉ là đích của nó được chọn thế nào.

Bước bốn: xem các tuyến do DHCP cung cấp

Các tuyến tĩnh không lớp cho phép máy chủ DHCP phân phát các mục bảng định tuyến, và thiết bị đầu cuối thường chấp nhận chúng mà không hỏi. Trên một mạng nơi kẻ đối kháng có thể trả lời DHCP nhanh hơn máy chủ hợp pháp, những mục đó có thể chuyển hướng lưu lượng mà người dùng tưởng là trong đường hầm.

So sánh các tuyến trên thiết bị đầu cuối với những tuyến bạn mong đợi. Một tuyến mặc định hoặc một tiền tố rộng trỏ tới cổng cục bộ trong khi đường hầm đang bật là dấu hiệu đáng điều tra, và nó hiển nhiên mà không cần bất kỳ lưu lượng tấn công nào.

ip route show table all
ip route get 203.0.113.55
nmcli -g ipv4.ignore-auto-routes con show "Wired connection 1"

Thiết lập cuối cùng là kiểm soát phía thiết bị đầu cuối mà nhiều máy khách và nền tảng phơi ra ở một dạng nào đó: bỏ qua các tuyến do mạng cung cấp. Tắt chấp nhận tuyến tự động là một đánh đổi, vì nó cũng tắt định tuyến chia tách hợp pháp từ máy chủ DHCP doanh nghiệp, nên hãy quyết định theo lớp mạng chứ không phải toàn cục.

Bước năm: tách thông báo khỏi bản dựng hiện tại

Một cuộc tấn công đã công bố mô tả hành vi quan sát được trên những phiên bản máy khách cụ thể vào một thời điểm cụ thể. Nó không chứng minh rằng máy tính xách tay trước mặt bạn bị ảnh hưởng, và cũng không chứng minh rằng nó đã được sửa. Cả hai khẳng định đều cần số bản dựng thực tế và thông báo hiện tại của nhà cung cấp.

Ghi lại phiên bản máy khách, nền tảng, các thiết lập hồ sơ chi phối những ngoại lệ ở trên và ngày bạn kiểm tra. Bản ghi đó cũ đi một cách trung thực, trong khi một ghi chú nói rằng VPN đã được vá cho TunnelCrack thì không cũ đi một cách trung thực. Đọc lại nó mỗi khi máy khách cập nhật, vì giá trị mặc định của hồ sơ có thể thay đổi dưới một phiên bản bạn không chạm tới.

Khi thực sự xác thực, hãy dùng một kế hoạch đã được phê duyệt đối với thiết bị đầu cuối của chính bạn và một đích vô hại. Tái tạo cuộc tấn công chống lại người dùng khác trên một mạng chia sẻ không phải là thử nghiệm, và tắt xác minh ngang hàng hoặc mã hóa ứng dụng để dễ quan sát hơn là gỡ bỏ lớp bảo vệ mà bạn đang cố đo.

Cuối cùng, hãy giữ bảo vệ ở tầng ứng dụng trong bức tranh. Một ngoại lệ định tuyến có thể làm lộ lưu lượng mà đường hầm lẽ ra đã chở, và TLS của ứng dụng vẫn bảo vệ lưu lượng đó từ đầu đến cuối. Hai tầng hỏng độc lập, vì vậy một kênh điều khiển đã kết nối không phải bằng chứng rằng mọi luồng đã đi theo đường dự định.