ವಿಪಿಎನ್ ಸಂಪರ್ಕಗಳನ್ನು ಅಪಹರಿಸಲು ಅನುಮತಿಸುವ ದುರ್ಬಲತೆಯನ್ನು ಕಂಡುಹಿಡಿಯಲಾಗಿದೆ

ಕೆಲವು ದಿನಗಳ ಹಿಂದೆ ಅದು ಬಿಡುಗಡೆಯಾಯಿತು ಆಕ್ರಮಣ ತಂತ್ರ (ಸಿವಿಇ -2019-14899), ಇದು ವಿಪಿಎನ್ ಸುರಂಗಗಳ ಮೂಲಕ ಫಾರ್ವರ್ಡ್ ಮಾಡಲಾದ ಟಿಸಿಪಿ ಸಂಪರ್ಕಗಳಲ್ಲಿ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಬದಲಾಯಿಸಲು, ಬದಲಾಯಿಸಲು ಅಥವಾ ಬದಲಿ ಮಾಡಲು ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ. ಸಮಸ್ಯೆ ಇದು ಲಿನಕ್ಸ್, ಫ್ರೀಬಿಎಸ್ಡಿ, ಓಪನ್ ಬಿಎಸ್ಡಿ, ಆಂಡ್ರಾಯ್ಡ್, ಮ್ಯಾಕೋಸ್, ಐಒಎಸ್ ಮತ್ತು ಇತರ ಯುನಿಕ್ಸ್ ತರಹದ ವ್ಯವಸ್ಥೆಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ.

ವಿಧಾನವು ಟಿಸಿಪಿ ಸಂಪರ್ಕಗಳ ಮಟ್ಟದಲ್ಲಿ ಪ್ಯಾಕೆಟ್ ಪರ್ಯಾಯವನ್ನು ಅನುಮತಿಸುತ್ತದೆ ಅದು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸುರಂಗದೊಳಗೆ ಹಾದುಹೋಗುತ್ತದೆ, ಆದರೆ ಗೂ ry ಲಿಪೀಕರಣದ ಹೆಚ್ಚುವರಿ ಪದರಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಸಂಪರ್ಕಗಳಲ್ಲಿ ಸಂಪರ್ಕವನ್ನು ಇದು ಅನುಮತಿಸುವುದಿಲ್ಲ (ಉದಾಹರಣೆಗೆ, TLS, HTTPS, SSH). ನಕಲಿ ಪ್ಯಾಕೆಟ್‌ಗಳು ಬಾಹ್ಯ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಬಂದಿರುವುದರಿಂದ ವಿಪಿಎನ್‌ಗಳಲ್ಲಿ ಬಳಸುವ ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಕ್ರಮಾವಳಿಗಳು ಅಪ್ರಸ್ತುತವಾಗುತ್ತದೆ, ಆದರೆ ಕರ್ನಲ್ ಅವುಗಳನ್ನು ವಿಪಿಎನ್ ಇಂಟರ್ಫೇಸ್‌ನಿಂದ ಪ್ಯಾಕೆಟ್‌ಗಳಾಗಿ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುತ್ತದೆ.

ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡದ ಎಚ್‌ಟಿಟಿಪಿ ಸಂಪರ್ಕಗಳಲ್ಲಿ ಹಸ್ತಕ್ಷೇಪ ಮಾಡುವುದು ದಾಳಿಯ ಬಹುಪಾಲು ಗುರಿಯಾಗಿದೆ, ಆದರೆ ಡಿಎನ್ಎಸ್ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಕುಶಲತೆಯಿಂದ ನಿರ್ವಹಿಸಲು ದಾಳಿಯ ಬಳಕೆಯನ್ನು ಹೊರಗಿಡಲಾಗುವುದಿಲ್ಲ.

ಯಶಸ್ವಿ ಪ್ಯಾಕೇಜ್ ಬದಲಿ ಸಾಬೀತಾಗಿದೆ ರಚಿಸಲಾದ ಸುರಂಗಗಳಿಗಾಗಿ OpenVPN, WireGuard ಮತ್ತು IKEv2 / IPSec.Tor ನೊಂದಿಗೆ. ಟ್ರಾಫಿಕ್ ಅನ್ನು ಫಾರ್ವರ್ಡ್ ಮಾಡಲು ಸಾಕ್ಸ್ ಅನ್ನು ಬಳಸುವುದರಿಂದ ಮತ್ತು ಲೂಪ್ಬ್ಯಾಕ್ ಇಂಟರ್ಫೇಸ್ಗೆ ಸೇರುವುದರಿಂದ ಇದು ಸಮಸ್ಯೆಯಿಂದ ಪ್ರಭಾವಿತವಾಗುವುದಿಲ್ಲ.

IPv4 ಗಾಗಿ, rp_filter ಅನ್ನು ಲೂಸ್ ಮೋಡ್‌ಗೆ ಹಾಕಿದರೆ ದಾಳಿ ಸಾಧ್ಯ. ಮೂಲ ವಿಳಾಸವನ್ನು ವಂಚಿಸುವುದನ್ನು ತಪ್ಪಿಸಲು ಪ್ಯಾಕೆಟ್ ಮಾರ್ಗಗಳನ್ನು ಹೆಚ್ಚುವರಿಯಾಗಿ ಪರಿಶೀಲಿಸಲು rp_filter ಕಾರ್ಯವಿಧಾನವನ್ನು ಬಳಸಲಾಗುತ್ತದೆ.

• 0 ಗೆ ಹೊಂದಿಸಿದಾಗ, ಮೂಲ ವಿಳಾಸವನ್ನು ಪರಿಶೀಲಿಸಲಾಗುವುದಿಲ್ಲ ಮತ್ತು ಯಾವುದೇ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ನಿರ್ಬಂಧಗಳಿಲ್ಲದೆ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್‌ಗಳ ನಡುವೆ ಮರುನಿರ್ದೇಶಿಸಬಹುದು.
• ಮೋಡ್ 1 "ಕಟ್ಟುನಿಟ್ಟಾದ" ಹೊರಗಿನಿಂದ ಬರುವ ಪ್ರತಿಯೊಂದು ಪ್ಯಾಕೆಟ್ ರೂಟಿಂಗ್ ಟೇಬಲ್‌ಗೆ ಅನುಗುಣವಾಗಿದೆಯೆ ಎಂದು ಪರಿಶೀಲಿಸುವುದನ್ನು ಒಳಗೊಂಡಿದೆ, ಮತ್ತು ಪ್ಯಾಕೆಟ್ ಸ್ವೀಕರಿಸಿದ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್ ಸೂಕ್ತ ಪ್ರತಿಕ್ರಿಯೆ ವಿತರಣಾ ಮಾರ್ಗಕ್ಕೆ ಸಂಪರ್ಕ ಹೊಂದಿಲ್ಲದಿದ್ದರೆ, ಪ್ಯಾಕೆಟ್ ಅನ್ನು ತಿರಸ್ಕರಿಸಲಾಗುತ್ತದೆ.
• ಮೋಡ್ 2 "ಲೂಸ್" ಲೋಡ್ ಬ್ಯಾಲೆನ್ಸರ್‌ಗಳು ಅಥವಾ ಅಸಮಪಾರ್ಶ್ವದ ರೂಟಿಂಗ್ ಅನ್ನು ಬಳಸುವಾಗ ಕಾರ್ಯಾಚರಣೆಯನ್ನು ಅನುಮತಿಸಲು ಪರೀಕ್ಷೆಯನ್ನು ಸುಗಮಗೊಳಿಸುತ್ತದೆ, ಅಲ್ಲಿ ಪ್ರತಿಕ್ರಿಯೆಯ ಮಾರ್ಗವು ಒಳಬರುವ ಪ್ಯಾಕೆಟ್ ಬಂದ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಹೋಗದಿರಬಹುದು.

"ಲೂಸ್" ಮೋಡ್‌ನಲ್ಲಿ, ಒಳಬರುವ ಪ್ಯಾಕೆಟ್ ರೂಟಿಂಗ್ ಟೇಬಲ್‌ಗೆ ಅನುಗುಣವಾಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ, ಆದರೆ ಲಭ್ಯವಿರುವ ಯಾವುದೇ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್ ಮೂಲಕ ಮೂಲ ವಿಳಾಸವನ್ನು ಪ್ರವೇಶಿಸಬಹುದಾದರೆ ಅದನ್ನು ಮಾನ್ಯವೆಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ.

ದಾಳಿ ನಡೆಸಲು:

ಮೊದಲನೆಯದು ಬಳಕೆದಾರರು ಪ್ರವೇಶಿಸುವ ಗೇಟ್‌ವೇ ಅನ್ನು ನಿಯಂತ್ರಿಸಬೇಕು ನೆಟ್‌ವರ್ಕ್‌ಗೆ (ಉದಾಹರಣೆಗೆ, ಎಂಐಟಿಎಂ ಸಂಘಟನೆಯ ಮೂಲಕ, ಬಲಿಪಶು ಆಕ್ರಮಣಕಾರರಿಂದ ನಿಯಂತ್ರಿಸಲ್ಪಡುವ ವೈರ್‌ಲೆಸ್ ಪ್ರವೇಶ ಬಿಂದುವಿಗೆ ಸಂಪರ್ಕಿಸಿದಾಗ ಅಥವಾ ಹ್ಯಾಕ್ ಮಾಡಿದ ರೂಟರ್ ಮೂಲಕ).

ಬಾಗಿಲನ್ನು ನಿಯಂತ್ರಿಸುವ ಮೂಲಕ ಬಳಕೆದಾರರು ನೆಟ್‌ವರ್ಕ್‌ಗೆ ಸಂಪರ್ಕ ಹೊಂದಿದ ಲಿಂಕ್, ಆಕ್ರಮಣಕಾರನು ನಕಲಿ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಕಳುಹಿಸಬಹುದು ಅವುಗಳನ್ನು ವಿಪಿಎನ್ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್‌ನ ಸಂದರ್ಭದಲ್ಲಿ ಗ್ರಹಿಸಲಾಗುತ್ತದೆ, ಆದರೆ ಪ್ರತಿಕ್ರಿಯೆಗಳನ್ನು ಸುರಂಗದ ಮೂಲಕ ಕಳುಹಿಸಲಾಗುತ್ತದೆ.

ಇದರಲ್ಲಿ ನಕಲಿ ಪ್ಯಾಕೆಟ್ ಸ್ಟ್ರೀಮ್ ಅನ್ನು ರಚಿಸುವಾಗ VPN ಇಂಟರ್ಫೇಸ್ನ IP ವಿಳಾಸವನ್ನು ಬದಲಾಯಿಸಲಾಗುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಸ್ಥಾಪಿಸಿದ ಸಂಪರ್ಕದ ಮೇಲೆ ಪ್ರಭಾವ ಬೀರಲು ಪ್ರಯತ್ನಿಸಲಾಗುತ್ತದೆe, ಆದರೆ ಈ ಪ್ಯಾಕೆಟ್‌ಗಳ ಪ್ರಭಾವವನ್ನು ಸುರಂಗ ಕಾರ್ಯಾಚರಣೆಗೆ ಸಂಬಂಧಿಸಿದ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಲಾದ ಸಂಚಾರ ಹರಿವಿನ ನಿಷ್ಕ್ರಿಯ ವಿಶ್ಲೇಷಣೆಯ ಮೂಲಕ ಮಾತ್ರ ಗಮನಿಸಬಹುದು.

ದಾಳಿ ನಡೆಸಲು, VPN ಸರ್ವರ್ ನಿಯೋಜಿಸಿರುವ ಸುರಂಗ ನೆಟ್‌ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್‌ನ IP ವಿಳಾಸವನ್ನು ನೀವು ಕಂಡುಹಿಡಿಯಬೇಕು ಮತ್ತು ನಿರ್ದಿಷ್ಟ ಹೋಸ್ಟ್‌ನ ಸಂಪರ್ಕವು ಪ್ರಸ್ತುತ ಸುರಂಗದ ಮೂಲಕ ಸಕ್ರಿಯವಾಗಿದೆ ಎಂದು ಸಹ ನಿರ್ಧರಿಸುತ್ತದೆ.

ಐಪಿ ನಿರ್ಧರಿಸಲು ವರ್ಚುವಲ್ ನೆಟ್‌ವರ್ಕ್‌ನ VPN ಇಂಟರ್ಫೇಸ್‌ನ, ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಬಲಿಪಶುವಿನ ವ್ಯವಸ್ಥೆಯ SYN-ACK ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಕಳುಹಿಸಲಾಗುತ್ತದೆ, ವರ್ಚುವಲ್ ವಿಳಾಸಗಳ ಸಂಪೂರ್ಣ ಶ್ರೇಣಿಯನ್ನು ಅನುಕ್ರಮವಾಗಿ ಆದೇಶಿಸುತ್ತದೆ.

ಅಂತೆಯೇ, ನಿರ್ದಿಷ್ಟ ಸೈಟ್‌ಗೆ ಸಂಪರ್ಕದ ಉಪಸ್ಥಿತಿಯನ್ನು ನಿರ್ಧರಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಬದಿಯಲ್ಲಿರುವ ಪೋರ್ಟ್ ಸಂಖ್ಯೆ: ಬಳಕೆದಾರರಿಗೆ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಗಳನ್ನು ಆದೇಶಿಸುವುದು, ಸೈಟ್ ಐಪಿ ಬದಲಿಯಾಗಿರುವ ಮೂಲ ವಿಳಾಸವಾಗಿ ಎಸ್‌ವೈಎನ್ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಕಳುಹಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸವು ವರ್ಚುವಲ್ ವಿಪಿಎನ್ ಐಪಿ ಆಗಿದೆ.

ಸರ್ವರ್ ಪೋರ್ಟ್ ಅನ್ನು can ಹಿಸಬಹುದು (ಎಚ್‌ಟಿಟಿಪಿಗೆ 80), ಮತ್ತು ಕ್ಲೈಂಟ್ ಬದಿಯಲ್ಲಿರುವ ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯನ್ನು ವಿವೇಚನಾರಹಿತ ಶಕ್ತಿಯಿಂದ ಲೆಕ್ಕಹಾಕಬಹುದು, ಆರ್‌ಎಸ್‌ಟಿ ಧ್ವಜದೊಂದಿಗೆ ಪ್ಯಾಕೆಟ್ ಅನುಪಸ್ಥಿತಿಯೊಂದಿಗೆ ಎಸಿಕೆ ಪ್ರತಿಕ್ರಿಯೆಗಳ ತೀವ್ರತೆಯ ಬದಲಾವಣೆಯನ್ನು ವಿಭಿನ್ನ ಸಂಖ್ಯೆಗಳಿಗೆ ವಿಶ್ಲೇಷಿಸುತ್ತದೆ.

ಈ ಹಂತದಲ್ಲಿ, ಆಕ್ರಮಣಕಾರನಿಗೆ ಸಂಪರ್ಕದ ನಾಲ್ಕು ಅಂಶಗಳು ತಿಳಿದಿರುತ್ತವೆ (ಮೂಲ ಐಪಿ ವಿಳಾಸ / ಪೋರ್ಟ್ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ಐಪಿ ವಿಳಾಸ / ಪೋರ್ಟ್), ಆದರೆ ಬಲಿಪಶು ವ್ಯವಸ್ಥೆಯು ಸ್ವೀಕರಿಸುವ ನಕಲಿ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ರಚಿಸಲು, ಆಕ್ರಮಣಕಾರನು ಅನುಕ್ರಮ ಮತ್ತು ಗುರುತಿಸುವಿಕೆ ಸಂಖ್ಯೆಯನ್ನು ನಿರ್ಧರಿಸಬೇಕು (ಸೆಕ್ ಮತ್ತು ಅಕ್) ಟಿಸಿಪಿ-ಸಂಪರ್ಕಗಳು.

ಪರಿಹಾರ.

IPv4 ವಿಳಾಸಗಳೊಂದಿಗೆ ಸುರಂಗಗಳನ್ನು ಬಳಸುವಾಗ ಅಂತಿಮವಾಗಿ ರಕ್ಷಣೆಗಾಗಿ, ಸ್ಥಾಪಿಸಲು ಸಾಕು "ಕಟ್ಟುನಿಟ್ಟಾದ" ಮೋಡ್‌ನಲ್ಲಿ rp_filter

sysctl net.ipv4.conf.all.rp_filter = 1

ವಿಪಿಎನ್ ಬದಿಯಲ್ಲಿ, ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಲಾದ ಪ್ಯಾಕೆಟ್‌ಗಳಿಗೆ ಹೆಚ್ಚುವರಿ ಪ್ಯಾಡಿಂಗ್ ಅನ್ನು ಸೇರಿಸುವ ಮೂಲಕ ಅನುಕ್ರಮ ಸಂಖ್ಯೆಯನ್ನು ನಿರ್ಧರಿಸುವ ವಿಧಾನವನ್ನು ನಿರ್ಬಂಧಿಸಬಹುದು, ಎಲ್ಲಾ ಪ್ಯಾಕೆಟ್‌ಗಳ ಗಾತ್ರವನ್ನು ಒಂದೇ ರೀತಿ ಮಾಡುತ್ತದೆ.