{"id":53634,"date":"2019-12-06T00:00:00","date_gmt":"2019-12-05T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli"},"modified":"2020-02-18T14:01:34","modified_gmt":"2020-02-18T11:01:34","slug":"uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","title":{"rendered":"S\u00e5rbarhed, der g\u00f8r det muligt at intervenere i TCP-forbindelser via VPN-tunneler","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Udgivet<\/a><\/noindex> angrebsteknik (CVE-2019-14899), der muligg\u00f8r \u00e6ndring, genudsendelse eller substitution af pakker i TCP-forbindelser, der passerer gennem VPN-tunneler. Problemet ber\u00f8rer Linux, FreeBSD, OpenBSD, Android, macOS, iOS og andre Unix-lignende systemer. Linux underst\u00f8tter mekanismen rp_filter (reverse path filtering) for IPv4, hvis aktivering i 'Strict' tilstand neutraliserer dette problem. <\/p>\n

Metoden giver mulighed for at udskifte pakker p\u00e5 TCP-forbindelsesniveau, der g\u00e5r inden i den krypterede tunnel, men tillader ikke indblanding i forbindelser, der anvender yderligere krypteringslag (f.eks. TLS, HTTPS, SSH). De anvendte krypteringsalgoritmer i VPN er ligegyldige, da de falske pakker kommer fra den eksterne gr\u00e6nseflade og behandles af kerne som pakker fra VPN-gr\u00e6nsefladen. Det mest sandsynlige m\u00e5l for angrebet er indgreb i ukrypterede HTTP-forbindelser, men det kan ikke udelukkes<\/a><\/noindex> at angrebet ogs\u00e5 anvendes til at manipulere med DNS-svar. <\/p>\n

Succesfuld pakke-substitution er blevet demonstreret for tunneler oprettet ved hj\u00e6lp af OpenVPN, WireGuard og IKEv2\/IPSec. Tor er ikke ber\u00f8rt af problemet, da det bruger SOCKS til at bringe trafik igennem og har en binding til loopback-interfacet. For IPv4 er angrebet muligt, hvis rp_filter s\u00e6ttes til 'Loose' (sysctl net.ipv4.conf.all.rp_filter = 2). Oprindeligt blev 'Strict' tilstand anvendt i de fleste systemer, men siden systemd 240<\/a><\/noindex>, der blev udgivet i december sidste \u00e5r, er standard driftstilstand blevet \u00e6ndret til 'Loose', og denne \u00e6ndring har p\u00e5virket standardindstillingerne for mange Linux-distributioner.<\/p>\n

rp_filter-mekanismen typeforbindelse<\/a><\/noindex> for yderligere at kontrollere pakkeveje for at forhindre spoofing af kildeadresser. Ved at indstille til 0 udf\u00f8res der ingen kontrol af kildeadressen, og enhver pakke kan frit videresendes mellem netv\u00e6rksinterfacene. Tilstand 1 'Strict' inkluderer kontrol af hver indkommende pakke udefra i forhold til routingtabel, og hvis netv\u00e6rksinterfacet, som pakken blev modtaget gennem, ikke er forbundet med den optimale rute til svaret, bliver pakken forkastet. Tilstand 2 'Loose' letter kontrollen for at muligg\u00f8re drift med loadbalancere eller asymmetrisk routing, hvor
\nsvarruten kan g\u00e5 via en anden netv\u00e6rksgr\u00e6nseflade end den, som den indkommende pakke blev modtaget igennem.<\/p>\n

I 'Loose' tilstand kontrolleres den indkommende pakke i forhold til routingtabel, men anses for acceptabel, hvis kildeadressen kan n\u00e5s gennem et hvilket som helst tilg\u00e6ngeligt netv\u00e6rksinterface. Den foresl\u00e5ede angreb er bygget p\u00e5 det, at angriberen kan sende en pakke med en \u00e6ndret kildeadresse, der svarer til VPN-interfacet, og selvom denne pakke ville komme ind i systemet gennem et eksternt netv\u00e6rksinterface og ikke gennem VPN, vil en rp_filter i 'Loose' tilstand ikke forkaste en s\u00e5dan pakke. <\/p>\n

For at gennemf\u00f8re angrebet skal angriberen kontrollere gatewayen, som brugeren g\u00e5r online gennem (for eksempel via en MITM-organisation, n\u00e5r offeret forbinder til en tr\u00e5dl\u00f8s adgangspunkts kontrol af angriberen eller gennem en routerhacking<\/a><\/noindex>). Ved at kontrollere gatewayen, som brugeren er tilsluttet netv\u00e6rket, kan angriberen sende falske pakker, der vil blive opfattet i konteksten af VPN-netv\u00e6rksgr\u00e6nsefladen, men svarene vil blive sendt gennem tunnelen.<\/p>\n

Ved at generere en str\u00f8m af falske pakker, hvor IP-adressen for VPN-gr\u00e6nsefladen inds\u00e6ttes, fors\u00f8ges det at p\u00e5virke den forbindelse, som klienten har etableret, men effekten af disse pakker kan kun observeres gennem en passiv analyse af den krypterede trafikstr\u00f8m, der relaterer til tunnelens drift. For at gennemf\u00f8re angrebet er det n\u00f8dvendigt at kende den tildelte IP-adresse for netv\u00e6rksgr\u00e6nsefladen i tunnelen fra VPN-serveren samt at bestemme, at der i \u00f8jeblikket er en aktiv forbindelse til en bestemt v\u00e6rt gennem tunnelen. <\/p>\n

For at bestemme IP-adressen for den virtuelle VPN-netv\u00e6rksgr\u00e6nseflade anvendes der en sendelse af SYN-ACK pakker til offerets system, hvor hele omr\u00e5det af virtuelle adresser gennemg\u00e5s en ad gangen (prim\u00e6rt adresser, der bruges som standard i VPN, for eksempel anvender OpenVPN subnettet 10.8.0.0\/24). Eksistensen af en adresse kan sk\u00f8nnes ud fra modtagelsen af et svar med RST-flagget.<\/p>\n

P\u00e5 samme m\u00e5de bestemmes tilstedev\u00e6relsen af en forbindelse til et bestemt websted og portnummeret p\u00e5 klientsiden \u2014 ved at gennemg\u00e5 portnumre sendes en SYN-pakke til brugeren, med webstedets IP som kildeadresse og VPN'ens virtuelle IP som destinationsadresse. Serverporten kan forudses (80 til HTTP), mens portnummeret p\u00e5 klientsiden kan beregnes ved at analysere \u00e6ndringerne i intensiteten af ACK-svarene i kombination med manglen p\u00e5 packets med RST-flaget.<\/p>\n

P\u00e5 dette stadium kender angriberen alle fire elementer af forbindelsen (IP-adresser\/port for kilden og IP-adresse\/port for destinationen), men for at generere en falsk pakke, som offerets system vil anerkende, skal angriberen bestemme sekvens- og bekr\u00e6ftelsesnumre (seq og ack) for TCP-forbindelsen. For at bestemme disse parametre sender angriberen kontinuerligt falske RST-pakker, mens der testes med forskellige sekvensnumre, indtil en svarende ACK-pakke registreres, hvis ankomst indikerer, at nummeret falder inden for TCP-vinduet. <\/p>\n

Derefter bekr\u00e6fter angriberen n\u00f8jagtigheden af denne bestemmelse ved at sende pakker med det samme nummer og observere ankomsten af ACK-svar, hvorefter det pr\u00e6cise nummer for den aktuelle sekvens v\u00e6lges. Opgaven kompliceres ved, at svarene sendes inden for en krypteret tunnel, og analysen af deres tilstedev\u00e6relse i den opfangede trafikstr\u00f8m kan kun foretages indirekte. Faktisk sendes en ACK-pakke adresseret til VPN-serveren af klienten baseret p\u00e5 st\u00f8rrelsen og forsinkelsen af de krypterede svar, der korrelerer med afsendelsen af de falske pakker. For eksempel indikerer en krypteret pakke med st\u00f8rrelsen 79 for OpenVPN, at der med rimelighed kan antages, at indholdet indeholder en ACK-bekr\u00e6ftelse.<\/p>\n

F\u00f8r beskyttelsen mod angrebet blev tilf\u00f8jet til operativsystemets kerne, var en midlertidig metode til at blokere problemet anbefales<\/a><\/noindex> ved hj\u00e6lp af en paketfilter i k\u00e6den \u00abpreroute\u00bb blokere gennemgangen af pakker, hvor den virtuelle IP-adresse for tunnelen er angivet som destinationsadresse.<\/p>\n

iptables -t raw -I PREROUTING ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j DROP<\/p>\n

eller for nftables<\/p>\n

nft add table ip raw
\n nft add chain ip raw prerouting '{ type filter hook prerouting priority 0; }'
\n nft add rule ip raw prerouting 'iifname != \u00abwg0\u00bb ip daddr 10.182.12.8 fib saddr type != local drop'<\/p>\n

For beskyttelse ved brug af tunneler med IPv4-adresser er det tilstr\u00e6kkeligt at s\u00e6tte rp_filter til 'Strict' ( 'sysctl net.ipv4.conf.all.rp_filter = 1'). P\u00e5 VPN-siden kan metoden til bestemmelser af sekvensnummerer blokeres ved at tilf\u00f8je padding til de krypterede pakker, hvilket g\u00f8r st\u00f8rrelsen af alle pakker ens. <\/p>\n

<\/a><\/noindex><\/p>\n

Kilde: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 Linux, FreeBSD, OpenBSD, Android, macOS, iOS \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 Unix-\u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u044b. Linux \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c rp_filter (reverse path filtering) \u0434\u043b\u044f IPv4, \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432 \u0440\u0435\u0436\u0438\u043c «Strict» \u043d\u0435\u0439\u0442\u0440\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443. \u041c\u0435\u0442\u043e\u0434 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0438\u0442\u044c \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u043d\u0430 \u0443\u0440\u043e\u0432\u043d\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439, \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0449\u0438\u0445 \u0432\u043d\u0443\u0442\u0440\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-53634","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 A vulnerability that allows interception of TCP connections made through VPN tunnels | ProHoster","description":"An attack technique (CVE-2019-14899) has been published that allows to spoof, alter, or substitute packets.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u043a\u043b\u0438\u043d\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u043e\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043b\u044f\u0435\u043c\u044b\u0435 \u0447\u0435\u0440\u0435\u0437 VPN-\u0442\u0443\u043d\u043d\u0435\u043b\u0438 | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u0430 \u0442\u0435\u0445\u043d\u0438\u043a\u0430 \u0430\u0442\u0430\u043a\u0438 (CVE-2019-14899), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043f\u043e\u0434\u043c\u0435\u043d\u0438\u0442\u044c, \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0438\u043b\u0438 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u043a\u0435\u0442\u044b \u0432.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-pozvolyayushhaya-vklinivatsya-v-tcp-soedineniya-osushhestvlyaemye-cherez-vpn-tunneli","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-05T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53634","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 08:12:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:21:20","updated":"2026-01-24 08:12:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/53634","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=53634"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/53634\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=53634"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=53634"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=53634"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}