👨🏿 📝 💆🏽 वीपीएन किलर। युद्ध सर्वरों के लिए उचित दूरस्थ पहुँच 🍻 🍹 🎧

इस लेख में व्यक्त की गई राय लेखक की निजी राय है। उन्होंने जोर दिया कि यह उनके नियोक्ता, वरिष्ठों और सुरक्षा विभाग की राय से मेल नहीं खा सकता है।

बुनियादी ढांचे के मामले में हमारी कंपनी की सबसे अच्छी चीजों में से एक यह है कि हम रिमोट एक्सेस कैसे लागू करते हैं। यह सिर्फ सुपर-मेगा-संरक्षित जादू है। मैंने अपने कई साथी सुरक्षा गार्डों और ऑडिटरों के साथ बात की, और ऐसा लगता है कि हमने गलती से वाणिज्यिक समाधान और हमारे सॉफ़्टवेयर को मिलाकर एक पूरी नई कहानी का आविष्कार किया है। और इसलिए, मैंने सोचा, यह उद्योग के पुराने रिमोट एक्सेस सॉल्यूशंस के साथ कैसे काम करता है और इसे कैसे लागू करता है, इसके तकनीकी विवरण में गहराई से गोता लगाना दिलचस्प होगा।

अच्छा व्यक्ति वीपीएन सलाह नहीं देगा

मैं एक मजबूत बयान के साथ शुरुआत करूंगा: सभी वीपीएन कचरा हैं ।

वीपीएन, अन्य डिजिटल तकनीकों की तरह कॉन्फ़िगर किया जा सकता है, ताकि अगर इसे हैक कर लिया जाए, तो दुनिया खत्म न हो जाए। हालांकि, कोई भी ऐसा नहीं करता है ... लेकिन सैद्धांतिक रूप से वे कर सकते हैं!

99.95% मामलों में, वीपीएन को कॉन्फ़िगर किया गया है:

डिवाइस (लैपटॉप या अन्य सर्वर) के बीच एक नेटवर्क ब्रिज बनाना
... और सर्वर का एक बड़ा नेटवर्क (उदाहरण के लिए, क्लाउड में या ऑन-प्रिमाइसेस के लिए )
... और इंटरनेट, एन्क्रिप्शन की एक अतिरिक्त परत द्वारा संरक्षित

यह एक अच्छा विचार नहीं है। कल्पना करें कि क्या आपके लैपटॉप पर कोई वायरस बस गया है और आप वीपीएन के माध्यम से युद्ध सर्वरों के नेटवर्क से जुड़ रहे हैं? ता डैम! वायरस अब आपके उत्पादन के लिए LAN का उपयोग करता है। निकास पर क्या है? उदासी। बहुत दुःख।

ठीक है, मान लें कि वायरस का मामला दूर की कौड़ी है। लेकिन इस तथ्य के बारे में क्या है कि एक हैकर वीपीएन में घुसपैठ कर सकता है, उदाहरण के लिए, डिवाइस या सॉफ़्टवेयर के अंदर भेद्यता का उपयोग करके जिस पर वीपीएन काम करता है? तो, अपना रास्ता सीधे लक्ष्य नेटवर्क में बनाया है? यह एक गंभीर मामला है, और सिद्धांत से दूर है। आप लेख में अधिक पढ़ सकते हैं कि हार्टलेड का उपयोग हमले के वेक्टर का उपयोग करके वीपीएन को पकड़ने के लिए कैसे किया गया था , जिसे मैंने अपने ब्लॉग में सीधे चेतावनी दी थी ।

अभी कुछ समय पहले, वीपीएन कमजोरियों की एक लहर दुनिया भर में बह गई थी, जो साइबर अपराधियों द्वारा लक्षित नेटवर्क तक पहुंच प्राप्त करने के लिए तुरंत उपयोग की गई थी । लेकिन यह आश्चर्य की बात नहीं है, है ना? ये सिस्टम सीधे नेटवर्क में "दिखते हैं", उनके सामने किसी भी अन्य सुरक्षात्मक तंत्र के बिना। फिक्स और पैच आमतौर पर स्वचालित रूप से लागू नहीं होते हैं, और मालिकाना ओएस पर चलने वाले मालिकाना सॉफ्टवेयर द्वारा नियंत्रित स्वामित्व तंत्र को शामिल करते हैं। खैर, वहाँ शुभकामनाएँ।

क्या इन वीपीएन उपकरणों को ढूंढना मुश्किल है? इस लेख को लिखने से पहले, मैंने कभी कोशिश नहीं की, इसलिए मुझे यकीन नहीं है। Shodan.io में लगभग आधे घंटे और कृपया - आउटपुट से कुछ प्रमुख परिणाम:

थॉमसन रॉयटर्स 26,000 कर्मचारियों वाली 41 बिलियन डॉलर की कंपनी है, जिसका आधा हिस्सा वित्तीय सेवाओं से आता है।
एसएपी कॉन्सुर एक यात्रा प्रबंधन सेवा है, इसे तोड़ने से सभी प्रकार के व्यक्तिगत और भुगतान डेटा का एक गुच्छा मिलेगा।
प्रगतिशील बीमा - व्यक्तिगत डेटा और व्यक्तिगत चिकित्सा जानकारी, कुछ भुगतान डेटा के साथ मिलकर।
शेवरॉन फिलिप्स केमिकल - नाम खुद के लिए बोलता है।

खैर, यह शायद बहुत अच्छा नहीं है। अगर इन चीजों को ढूंढना इतना आसान है, तो इन्हें ऑनलाइन रखना सही समाधान नहीं लगता है। क्या हमारे पास कोई और विकल्प है?

शून्य का भरोसा

शून्य ट्रस्ट [शाब्दिक: "शून्य विश्वास"] - संक्षेप में, इसका मतलब है कि आप प्रत्येक कनेक्शन को अधिकृत करते हैं, और यह नहीं मानते हैं कि उनमें से कुछ भरोसेमंद हैं क्योंकि वे पहले से ही आपके नेटवर्क के अंदर हैं। यदि आप इस शब्द को बेहतर ढंग से समझना चाहते हैं और व्यवसाय के लिए अपने दृष्टिकोण पर फिर से विचार करना चाहते हैं, तो इस लेख को नेटवर्क वर्ल्ड (एक और बेशर्म स्वयं-पीआर के लिए क्षमा करें) पर पढ़ें ।

हमने युद्ध सर्वर पर शून्य-ट्रस्ट प्राधिकरण शुरू करने के लिए ओक्टा एडवांस्ड सर्वर एक्सेस (OASA) समाधान खरीदा ।
OASA तीन कारणों से ठंडा है:

1. यह स्टेरॉयड पर OpenSSH के विन्यास के आसपास सिर्फ एक आवरण है

हुड के तहत, OASA प्लेटफ़ॉर्म ओपनएसएसएच (आपके कंसोल में समान ssh कमांड) की एक अच्छी तरह से प्रबंधित तैनाती है। और ओपनएसएसएच एक अत्यंत सुव्यवस्थित और सुरक्षित दूरस्थ प्रशासन समाधान है। वैसे, 2003 के बाद से, ओपनएसएसएच में एक भी भेद्यता नहीं है जो मानक कॉन्फ़िगरेशन में अनधिकृत रिमोट एक्सेस का कारण बन सकता है।
इस योजना में प्रवेश बिंदु नियमित अमेज़ॅन लिनक्स 2 ईसी 2 उदाहरण हैं। इस प्रकार, हमला क्षेत्र बहुत छोटा है। याद रखें: वीपीएन का उपयोग करने के साथ मुख्य समस्याओं में से एक मालिकाना सॉफ्टवेयर / ओएस कॉन्फ़िगरेशन है जो स्वचालित पैच को रोकता है। बाकी बुनियादी ढांचे के साथ-साथ हमारे नेटवर्क प्रवेश बिंदुओं को अपडेट करने की क्षमता एक बड़ी जीत है।

2. नेटवर्क पुल नहीं हैं

जैसा कि मैंने ऊपर उल्लेख किया है, अधिकांश वीपीएन एक नेटवर्क डिवाइस, जैसे कि लैपटॉप, और इंटरनेट पर सर्वर के नेटवर्क के बीच एक नेटवर्क ब्रिज बनाने के लिए कॉन्फ़िगर किया गया है। वीपीएन में मेरे सबसे दर्दनाक स्थानों में से एक यह है कि वे आपके सभी नेटवर्क ट्रैफ़िक को रोकते हैं। आप निश्चित रूप से एक अलग व्यवहार के लिए पुन: कॉन्फ़िगर कर सकते हैं, लेकिन हमारे ग्राहकों और NIST 800-53 SC-7 (7) सुरक्षा प्रोटोकॉल आमतौर पर बस की आवश्यकता होती है।

यह इस बात का एक अच्छा उदाहरण है कि कैसे कुछ सुरक्षा उपाय उद्योग के विकास से बहुत पीछे हैं। पुराने स्कूल की दुनिया में, वीपीएन यातायात को एन्क्रिप्ट करने के लिए एकमात्र परत हो सकता है। कई बार ऑडिटर मानते हैं कि वीपीएन सुरक्षा के बिना आप अपना डेटा अनएन्क्रिप्टेड चैनलों के माध्यम से भेजेंगे।

सौभाग्य से, एक बेहतर तरीका है। OASA मॉडल में, आपके और सर्वर के बीच व्यक्तिगत रूप से एक कनेक्शन स्थापित किया जाता है। उदाहरण के लिए, अनुरोध के जवाब में "मैं EC2 उदाहरण i-028d62efa6f0b36b5 पर जाना चाहता हूं", आपका सिस्टम नेटवर्क के इनपुट बिंदु से कनेक्ट होता है, और फिर लक्ष्य सर्वर पर। OASA SSO के माध्यम से आपके डेटा के पहले सत्यापन के बाद दस मिनट के क्लाइंट सर्टिफिकेट जारी करके और फिर इस बात की पुष्टि करता है कि आप इच्छित (और पुष्टि) विश्वसनीय डिवाइस पर हैं।

नेट पर घूमने की आजादी बहुत कम है। एक व्यवस्थापक नेटवर्क प्रविष्टि बिंदु और आगे के बंदरगाहों को किसी अन्य गंतव्य में प्रवेश कर सकता है, लेकिन यह सुविधा डिफ़ॉल्ट रूप से अक्षम है और कनेक्शन स्थापित करते समय स्पष्ट रूप से अनुरोध किया जाना चाहिए। और सबसे अच्छी बात यह है कि किसी को भी मुझे वर्चुअल प्राइवेट क्लाउड के माध्यम से सभी ट्रैफ़िक ले जाने की आवश्यकता नहीं है, क्योंकि इसे "वीपीएन" नहीं कहा जाता है।

3. समर्पित नेटवर्क का उपयोग और यादृच्छिक आईपी

ये नेटवर्क एंट्री पॉइंट प्रत्येक वर्चुअल प्राइवेट क्लाउड के लिए अलग से तैनात किए जाते हैं (उदाहरण के लिए, एक ठेस के लिए, एक मंचन के लिए, एक देव के लिए, आदि)। इसके अलावा, उनमें से प्रत्येक को हमारे सुरक्षा समाधान द्वारा बारीकी से देखा जाता है, जो सभी गतिविधि को लॉग करता है और ट्रैफ़िक को फ़िल्टर करता है। यदि पटाखा प्रवेश बिंदुओं में से एक के अंदर है, तो कुछ भी बाहर काम नहीं करेगा। किसी भी स्थिति में, हमारी सुरक्षा योजना केवल संरक्षित संसाधनों तक पहुंच की अनुमति नहीं देती है क्योंकि आप पहले से ही वर्चुअल प्राइवेट क्लाउड के अंदर हैं।

मेरा एक पसंदीदा रक्षा तंत्र दुर्घटना से पता चला। जब हमने पहली बार प्रवेश बिंदुओं को कॉन्फ़िगर करना शुरू किया, तो प्रत्येक को एडब्ल्यूएस से एक स्थिर आईपी पते के लिए कॉन्फ़िगर किया गया था। काफी जल्दी, हमने पाया कि ये IP पते कभी-कभी सही समय पर EC2 उदाहरणों से बंधे नहीं होते थे, जिससे गलत OASA सेल्फ-कॉन्फ़िगरेशन हो सकता था। उत्पादन में एक दर्जन अलग-अलग सुधारों के आनंद का अनुभव करने के बाद, मैं इसे बर्दाश्त नहीं कर सका और बस स्टेटिक आईपी के बारे में पूरी कहानी को हटा दिया - और यह काम किया।

OASA को केवल एक इंटरनेट-फेसिंग आईपी की आवश्यकता है, यह पहले से ज्ञात नहीं है। जब ग्राहक एक कनेक्शन स्थापित करने के लिए तैयार होता है, तो एक अद्वितीय GUID का अनुरोध किया जाता है, जिसकी सहायता से आईपी निर्धारित किया जाता है:

उपयोगकर्ता: मैं vpc-99f2acff से कनेक्ट करने के लिए लॉग इन करना चाहता हूं
OASA क्लाइंट अनुप्रयोग: मैंने GUID 25af5d4f-e657-4583-b0bd-beb1ca4f0c1f के साथ एक ज्ञात सर्वर के रूप में vpc-99f2acff को परिभाषित किया है
OASA सर्वर: K 25af5d4f-e657-4583-b0bd-beb1ca4f0c1f 3.22.198.24 पर एक्सेस किया जा सकता है, यहां प्रमाण पत्र हैं
OASA क्लाइंट अनुप्रयोग: प्रमाणपत्र स्थापित, SSH के माध्यम से 3.22.198.24 से कनेक्ट ...

इसका मतलब यह है कि हमारे प्रवेश बिंदु अवसंरचना ( आपके ध्यान के बारे में एक अलग पोस्ट ) का प्रत्येक उदाहरण आईपी पते के पूरी तरह से नए सेट के साथ आता है। इस प्रकार, यादृच्छिक हैकर्स को लाखों लोगों के बीच एक आईपी की तलाश करनी होगी, और उनकी संख्या हर दिन बढ़ रही है। उनके लिए दुर्भाग्य से, यह खोज पूरी तरह से व्यर्थ है, इसके लिए धन्यवाद ...

एंटरप्राइज पोर्ट दस्तक दे रहा है

पोर्ट दस्तक [शाब्दिक: बंदरगाहों पर दस्तक] एक ऐसी चीज है, जो सिद्धांत रूप में, वास्तविक दुनिया में कोई भी उपयोग नहीं करता है, लेकिन जिसे कॉन्फ़िगर करने में बहुत मज़ा आता है। संक्षेप में, पोर्ट नॉकिंग विभिन्न बंद नेटवर्क पोर्ट के लिए "धक्कों" का एक क्रम है, और यदि अनुक्रम सही ढंग से दोहराया जाता है, तो "वास्तविक" पोर्ट आपके आईपी पर खुलता है। वास्तविक बड़ी परियोजनाओं में सुरुचिपूर्ण, लेकिन अव्यवहारिक।
मैं विचार से प्रेरित था और सोचा था कि विचार को कैसे बेहतर बनाया जाए। इसलिए मुझे एंटरप्राइज पोर्ट नॉकिंग का समाधान का जन्म हुआ ।

मैं एक ऐसा तंत्र बनाना चाहता था, जो इंटरनेट तक हमारे प्रवेश बिंदुओं की निकटता की गारंटी दे, जब तक कि कोई उन्हें एक्सेस करने में सक्षम न हो। यह तंत्र मौजूदा तरीके से उपयोग में आसान, विश्वसनीय और प्रमाणित होना चाहिए था।
मैंने तंत्र की वास्तुकला को छोड़ दिया और इंजीनियरों की हमारी अविश्वसनीय रूप से प्रतिभाशाली टीम के साथ चला गया। कुछ हफ्ते बाद हमने शुरुआत की।

यह सेवा AWS एपीआई गेटवे (सर्वर रहित आर्किटेक्चर की खुशी!) के माध्यम से आसान और विश्वसनीय उपयोग के साथ AWS लैम्ब्डा फ़ंक्शन के रूप में काफी सरल और सहायक है। तंत्र इस तरह काम करता है:

उपयोगकर्ता को एसएसओ के माध्यम से सफलतापूर्वक प्रमाणित किया जाता है।
अनुप्रयोग विशेष रूप से चिह्नित सुरक्षा समूह (फ़ायरवॉल नियमों के लिए AWS अवधारणा) की खोज में AWS खातों को कॉन्फ़िगर करता है
एप्लिकेशन सुरक्षा समूह को अपडेट करता है, जो अनुरोधकर्ता के आईपी पते तक पहुंच की अनुमति देता है। सुरक्षा समूह में एक नियम ऐड टाइमस्टैम्प को भी संग्रहीत करता है।
क्रोन कार्य अनुमत आईपी की सूची को हर निर्दिष्ट अवधि में साफ करता है।

इस स्थिति के लिए धन्यवाद, अब हम रिमोट एक्सेस समाधान का दावा कर रहे हैं, जो पूरी तरह से इंटरनेट के लिए बंद है और फ़ायरवॉल में पोर्ट खोलने से पहले हमारे उपयोगकर्ता डेटाबेस के माध्यम से दो-कारक प्रमाणीकरण की आवश्यकता है ।

और यह आसान है!

मैं अभी तक नहीं छू पाया हूं कि ये तंत्र ऑपरेशन में कितने सरल हैं। मुझे पता है कि कई घटक हैं, लेकिन एक साथ वे एक बहुत ही सरल प्राधिकरण बनाते हैं:

SSO के माध्यम से लॉग इन करें।
SSO पोर्टल में एंटरप्राइज पोर्ट नॉकिंग के लॉन्च पर क्लिक करें।
टर्मिनल में, SSH कमांड का उपयोग करते हुए, गंतव्य को लक्ष्य EC2 उदाहरण की ID के रूप में निर्दिष्ट करें। OASA प्रणाली यह पता लगाने के लिए पर्याप्त स्मार्ट है कि कौन सा प्रविष्टि बिंदु का उपयोग करना है और बाकी सब कुछ स्वचालित रूप से होता है!

यह पूरी प्रणाली हमारे बुनियादी ढांचे के लिए, सभी सुरक्षा समझौतों के अनुपालन के लिए और हमारे ग्राहकों की सुरक्षा के लिए एक महान जीत है। उपयोगकर्ताओं को वास्तव में यह पसंद है कि हमारे सर्वर से कनेक्ट करना कितना आसान है, क्योंकि आपको अतिरिक्त प्रमाणीकरण से गुजरने या वीपीएन का उपयोग करने की याद नहीं है। और मुझे वास्तव में अपनी शांत नींद पसंद है। हर कोई नए मॉडल से जीता!

खैर, हैकर्स को छोड़कर, बिल्कुल।

वीपीएन किलर। युद्ध सर्वरों के लिए उचित दूरस्थ पहुँच