નબળાઈ કે જે VPN ટનલ દ્વારા બનાવેલા TCP કનેક્શન્સને હાઇજેક કરવાની મંજૂરી આપે છે

પ્રકાશિત એક હુમલો તકનીક (CVE-2019-14899) જે પેકેટોને VPN ટનલ દ્વારા રૂટ કરાયેલા TCP કનેક્શનમાં બનાવટી, સંશોધિત અથવા દાખલ કરવાની મંજૂરી આપે છે. આ સમસ્યા અસર કરે છે Linux, ફ્રીબીએસડી, ઓપનબીએસડી, Android, macOS, iOS અને અન્ય યુનિક્સ જેવી સિસ્ટમો. Linux IPv4 માટે rp_filter (રિવર્સ પાથ ફિલ્ટરિંગ) મિકેનિઝમને સપોર્ટ કરે છે, જે "સ્ટ્રિક્ટ" મોડમાં સક્ષમ થવા પર, આ સમસ્યાને નિષ્ક્રિય કરે છે.

આ પદ્ધતિ એન્ક્રિપ્ટેડ ટનલની અંદર TCP કનેક્શન સ્તરે પેકેટ અવેજી સક્ષમ કરે છે, પરંતુ વધારાના એન્ક્રિપ્શન સ્તરો (દા.ત., TLS, HTTPS, SSH) નો ઉપયોગ કરતા જોડાણોને અટકાવવાની મંજૂરી આપતી નથી. VPN માં ઉપયોગમાં લેવાતા એન્ક્રિપ્શન અલ્ગોરિધમ્સ અપ્રસ્તુત છે, કારણ કે બનાવટી પેકેટો બાહ્ય ઇન્ટરફેસમાંથી આવે છે અને કર્નલ દ્વારા VPN ઇન્ટરફેસમાંથી પેકેટ તરીકે પ્રક્રિયા કરવામાં આવે છે. હુમલાનું સૌથી સંભવિત લક્ષ્ય અનએન્ક્રિપ્ટેડ HTTP કનેક્શન્સમાં દખલગીરી છે, પરંતુ બાકાત નથી અને DNS પ્રતિભાવોમાં ચાલાકી કરવા માટે હુમલાનો ઉપયોગ કરવો.

નો ઉપયોગ કરીને બનાવેલ ટનલ માટે સફળ પેકેટ સ્પૂફિંગનું પ્રદર્શન કરવામાં આવ્યું છે OpenVPN, WireGuard IKEv2/IPSec.Tor આ સમસ્યા માટે સંવેદનશીલ નથી, કારણ કે તે ટ્રાફિક ફોરવર્ડિંગ અને લૂપબેક ઇન્ટરફેસ સાથે જોડવા માટે SOCKS નો ઉપયોગ કરે છે. IPv4 માટે, જો rp_filter "Loose" મોડ (sysctl net.ipv4.conf.all.rp_filter = 2) પર સેટ કરેલ હોય તો હુમલો શક્ય છે. શરૂઆતમાં, મોટાભાગની સિસ્ટમો "Strict" મોડનો ઉપયોગ કરતી હતી, પરંતુ શરૂઆતથી systemd 240ગયા ડિસેમ્બરમાં રિલીઝ થયેલ, ડિફોલ્ટ મોડને "લૂઝ" માં બદલી નાખવામાં આવ્યો હતો અને આ ફેરફાર ઘણા વિતરણોની ડિફોલ્ટ સેટિંગ્સમાં પ્રતિબિંબિત થયો હતો. Linux.

rp_filter મિકેનિઝમ લાગુ પડે છે સોર્સ એડ્રેસ સ્પૂફિંગ અટકાવવા માટે વધારાના પેકેટ પાથ ચેકિંગ માટે. જ્યારે 0 પર સેટ કરવામાં આવે છે, ત્યારે સોર્સ એડ્રેસ ચેકિંગ અક્ષમ હોય છે, અને કોઈપણ પેકેટને નેટવર્ક ઇન્ટરફેસ વચ્ચે પ્રતિબંધો વિના ફોરવર્ડ કરી શકાય છે. મોડ 1, "સ્ટ્રિક્ટ," રૂટીંગ ટેબલ સામે દરેક આવનારા બાહ્ય પેકેટની તપાસને સક્ષમ કરે છે, અને જો નેટવર્ક ઇન્ટરફેસ જેના દ્વારા પેકેટ પ્રાપ્ત થયું હતું તે શ્રેષ્ઠ પ્રતિભાવ ડિલિવરી રૂટ સાથે સંકળાયેલું નથી, તો પેકેટ કાઢી નાખવામાં આવે છે. મોડ 2, "લૂઝ," લોડ બેલેન્સર્સ અથવા અસમપ્રમાણ રૂટીંગનો ઉપયોગ કરતી વખતે કામગીરીને મંજૂરી આપવા માટે ચેકને હળવા કરે છે, જેમાં
પ્રતિભાવ માર્ગ એ જ નેટવર્ક ઇન્ટરફેસમાંથી પસાર ન થઈ શકે જેના દ્વારા આવનાર પેકેટ આવ્યું હતું.

"લૂઝ" મોડમાં, ઇનકમિંગ પેકેટને રૂટીંગ ટેબલ સામે તપાસવામાં આવે છે, પરંતુ જો સ્રોત સરનામું કોઈપણ ઉપલબ્ધ નેટવર્ક ઇન્ટરફેસ દ્વારા પહોંચી શકાય તેવું હોય તો તે માન્ય માનવામાં આવે છે. પ્રસ્તાવિત હુમલો એ હકીકત પર આધાર રાખે છે કે હુમલાખોર VPN ઇન્ટરફેસને અનુરૂપ બનાવટી સ્રોત સરનામાં સાથે પેકેટ મોકલી શકે છે. ભલે આ પેકેટ VPN દ્વારા નહીં પણ બાહ્ય નેટવર્ક ઇન્ટરફેસ દ્વારા સિસ્ટમમાં પ્રવેશ કરે છે, rp_filter "લૂઝ" મોડ આવા પેકેટને કાઢી નાખશે નહીં.

હુમલો કરવા માટે, હુમલાખોરે તે ગેટવેને નિયંત્રિત કરવો આવશ્યક છે જેના દ્વારા વપરાશકર્તા નેટવર્કને ઍક્સેસ કરે છે (ઉદાહરણ તરીકે, MITM સંસ્થા દ્વારા, જ્યારે પીડિત હુમલાખોર-નિયંત્રિત વાયરલેસ એક્સેસ પોઇન્ટ સાથે કનેક્ટ થાય છે, અથવા રાઉટર હેકિંગવપરાશકર્તા નેટવર્ક સાથે જે ગેટવે દ્વારા જોડાયેલ છે તેને નિયંત્રિત કરીને, હુમલાખોર બોગસ પેકેટ મોકલી શકે છે જે VPN નેટવર્ક ઇન્ટરફેસના સંદર્ભમાં દેખાશે, પરંતુ પ્રતિભાવો ટનલ દ્વારા રૂટ કરવામાં આવશે.

VPN ઇન્ટરફેસના IP સરનામાંનો ઢોંગ કરતા નકલી પેકેટોનો પ્રવાહ ઉત્પન્ન કરીને, ક્લાયંટના સ્થાપિત કનેક્શનને પ્રભાવિત કરવાનો પ્રયાસ કરવામાં આવે છે. જો કે, આ પેકેટોની અસર ફક્ત ટનલ સાથે સંકળાયેલા એન્ક્રિપ્ટેડ ટ્રાફિક પ્રવાહના નિષ્ક્રિય વિશ્લેષણ દ્વારા જ જોઈ શકાય છે. હુમલો કરવા માટે, VPN સર્વર દ્વારા સોંપાયેલ ટનલના નેટવર્ક ઇન્ટરફેસનું IP સરનામું મેળવવું અને તે નક્કી કરવું જરૂરી છે કે ચોક્કસ હોસ્ટ સાથેનું કનેક્શન હાલમાં ટનલ દ્વારા સક્રિય છે.

VPN ના વર્ચ્યુઅલ નેટવર્ક ઇન્ટરફેસનો IP નક્કી કરવા માટે, SYN-ACK પેકેટ્સ પીડિત સિસ્ટમને મોકલવામાં આવે છે, જે ક્રમિક રીતે વર્ચ્યુઅલ સરનામાંઓની સમગ્ર શ્રેણીમાંથી પસાર થાય છે (સૌ પ્રથમ, VPN માં ડિફોલ્ટ રૂપે ઉપયોગમાં લેવાતા સરનામાં શોધવામાં આવે છે, ઉદાહરણ તરીકે OpenVPN સબનેટ 10.8.0.0/24 નો ઉપયોગ થાય છે). સરનામાંના અસ્તિત્વનો નિર્ણય RST ફ્લેગ સાથે પ્રતિભાવ પ્રાપ્ત થયાના આધારે કરી શકાય છે.

ચોક્કસ સાઇટ સાથેનું કનેક્શન અને ક્લાયંટ-સાઇડ પોર્ટ નંબર સમાન રીતે નક્કી કરવામાં આવે છે. સાઇટના IP સરનામાંને સ્રોત સરનામાં તરીકે અને VPN વર્ચ્યુઅલ IP સરનામાંને ગંતવ્ય તરીકે રાખીને, SYN પેકેટ વપરાશકર્તાને વિવિધ પોર્ટ નંબરો અજમાવીને મોકલવામાં આવે છે. સર્વર પોર્ટની આગાહી કરી શકાય છે (HTTP માટે 80), અને ક્લાયંટ-સાઇડ પોર્ટ નંબરની ગણતરી બ્રુટ-ફોર્સિંગ દ્વારા કરી શકાય છે, વિવિધ નંબરો માટે ACK પ્રતિભાવ દરમાં ફેરફારનું વિશ્લેષણ કરીને, RST ફ્લેગ સાથે પેકેટની ગેરહાજરી સાથે.

આ તબક્કે, હુમલાખોર ચારેય કનેક્શન તત્વો (સ્રોત IP સરનામું/પોર્ટ અને ગંતવ્ય IP સરનામું/પોર્ટ) જાણે છે, પરંતુ બનાવટી પેકેટ જનરેટ કરવા માટે જે પીડિત સિસ્ટમ દ્વારા સ્વીકારવામાં આવશે, હુમલાખોરે TCP કનેક્શન ક્રમ અને સ્વીકૃતિ (seq અને ack) નંબરો નક્કી કરવા આવશ્યક છે. આ પરિમાણો નક્કી કરવા માટે, હુમલાખોર સતત બનાવટી RST પેકેટો મોકલે છે, વિવિધ ક્રમ નંબરોનો પ્રયાસ કરે છે, જ્યાં સુધી તેઓ ACK પ્રતિભાવ પેકેટ શોધી ન લે, જેનું આગમન સૂચવે છે કે ક્રમ નંબર TCP વિંડોમાં આવે છે.

હુમલાખોર પછી એ જ નંબરવાળા પેકેટ મોકલીને અને આવનારા ACK પ્રતિભાવોનું અવલોકન કરીને શોધની શુદ્ધતા ચકાસે છે, ત્યારબાદ તેઓ વર્તમાન ક્રમનો ચોક્કસ ક્રમ નંબર નક્કી કરે છે. કાર્ય એ હકીકત દ્વારા જટિલ છે કે પ્રતિભાવો એન્ક્રિપ્ટેડ ટનલની અંદર મોકલવામાં આવે છે, અને અવરોધિત ટ્રાફિક પ્રવાહમાં તેમની હાજરીનું ફક્ત પરોક્ષ રીતે વિશ્લેષણ કરી શકાય છે. ક્લાયન્ટે VPN સર્વરને સંબોધિત ACK પેકેટ મોકલ્યું છે કે નહીં તે એન્ક્રિપ્ટેડ પ્રતિભાવોના કદ અને વિલંબના આધારે નક્કી થાય છે, જે બનાવટી પેકેટો મોકલવા સાથે સંબંધિત છે. ઉદાહરણ તરીકે, માટે OpenVPN 79 ના કદ સાથેનું એન્ક્રિપ્ટેડ પેકેટ આપણને ચોક્કસ રીતે નક્કી કરવાની મંજૂરી આપે છે કે તેમાં ACK પુષ્ટિકરણ છે.

સમસ્યાને અવરોધિત કરવા માટે કામચલાઉ પદ્ધતિ તરીકે, ઓપરેટિંગ સિસ્ટમ કર્નલમાં હુમલા સામે રક્ષણ ઉમેરવામાં ન આવે ત્યાં સુધી આગ્રહણીય છે "પ્રીરૂટ" ચેઇનમાં પેકેટ ફિલ્ટરનો ઉપયોગ કરીને, પેકેટોના પેસેજને અવરોધિત કરો જેમાં ટનલનું વર્ચ્યુઅલ IP સરનામું ગંતવ્ય સરનામાં તરીકે ઉલ્લેખિત હોય.

iptables -t raw -I પ્રીરુટિંગ ! -i wg0 -d 10.182.12.8 -m addrtype ! --src-type LOCAL -j ડ્રોપ

અથવા nftables માટે

nft ઉમેરો ટેબલ ip કાચો
nft એડ ચેઇન ip રો પ્રીરૂટિંગ '{ ટાઇપ ફિલ્ટર હૂક પ્રીરૂટિંગ પ્રાયોરિટી 0; }'
nft એડ રૂલ ip રો પ્રીરૂટિંગ 'iifname != "wg0" ip daddr 10.182.12.8 fib saddr type != local drop'

IPv4 ટનલ સામે રક્ષણ મેળવવા માટે, ફક્ત rp_filter ને "Strict" મોડ પર સેટ કરો (sysctl net.ipv4.conf.all.rp_filter = 1). VPN બાજુએ, એન્ક્રિપ્ટેડ પેકેટોમાં પેડિંગ ઉમેરીને ક્રમ નંબર નિર્ધારણ પદ્ધતિને અવરોધિત કરી શકાય છે, જેનાથી બધા પેકેટ સમાન કદના બને છે.

સોર્સ: opennet.ru