Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака TunnelVision, позволяющая перенаправить VPN-трафик через манипуляции с DHCP, opennews (??), 07-Май-24, (0) [смотреть все] Круто, спасибо за информацию , tcpip (??), 11:31 , 07-Май-24, (1) // при наличии доступа к локальной сети перестал дальше читать, лол, КО (?), 12:04 , 07-Май-24, (12) +13 // да пусть даже доступ будет Современные энтерпрайз давно умеют отсекать неавтори, Анониматор (?), 12:20 , 07-Май-24, (21) +3 // Вы только сообщите об этом современным энтерпрайз админам, что бы они всё это на, Аноним (28), 12:52 , 07-Май-24, (28) +14 Я сначала также подумал, но, с другой стороны VPN часто рекламируют как способ о, Анонимус3000 (?), 12:42 , 07-Май-24, (25) +8 // В публичных сетях скорее всего пользуешься андроидом, где атака не работает Есл, Аноним (33), 13:37 , 07-Май-24, (33) –6 Только в этой рекламе забывают рассказать, что сервер VPN должен быть свой, а не, EULA (?), 12:07 , 13-Май-24, (141) клиенты под вирегуард попенвпн самому собирать тобишь , нейм (?), 08:15 , 16-Май-24, (143) Сервер для начала свой собрать Кто даст гарантию, что на чужом сервере нет мужик, EULA (?), 05:15 , 17-Май-24, (149) Это история про провайдеров, когда роутер провайдерский , Аноним (29), 12:55 , 07-Май-24, (29) // Это история про любую локалку со злоумышленном внутри и где комутаторы не фильру, Ivan_83 (ok), 22:55 , 07-Май-24, (60) +2 А в чем проблема Допустим у тебя есть роутер с впном, есть праводер которому эт, Аноним (-), 21:43 , 07-Май-24, (55) // а ты посмотри на add-default-route для VPN и для DHCP clientв худшем случае, есл, penetrator (?), 05:43 , 08-Май-24, (86) Я обычно не юзаю DHCP - так что на меня этот чит вообще не сработает Но идея пр, Аноним (-), 10:12 , 08-Май-24, (93) +1 А зря, сеть до провайдера - тоже LAN, а адреса он обычно раздает по DHCP , fi (ok), 17:35 , 08-Май-24, (102) +1 // Только это часто ADSL GPON где линк абонент-провайдер можно сказать физически из, Ivan_83 (ok), 22:05 , 08-Май-24, (109) +1 1 схема VLAN per customer как раз работает поверх LAN - вот тут и прилетит DH, fi (ok), 13:09 , 13-Май-24, (142) Сразу хотелось бы вставить часть комментария с HN They also claim that it affec, Bklrexte (ok), 11:31 , 07-Май-24, (2) // А у нас вообще запрещены, так, что не страшно https opennet ru 46944-law, Аноним (4), 11:35 , 07-Май-24, (4) +6 // Всегда поражался тупостью местных законовыдумывателей, им там хоть раз в голову , cheburnator9000 (ok), 12:15 , 07-Май-24, (18) // Тупость это когда от действий страдает придумывающий всё это В данном случае ст, Аноним (33), 13:43 , 07-Май-24, (35) +2 И в чем проблема Вот прикрутили бота-модератора помимо админов и норм на Опенн, Banned (?), 14:12 , 07-Май-24, (38) Просто некоторые мб никогда не взаимодействовали с формальщиной далее чем подпис, Бывалый Смузихлёб (ok), 07:44 , 08-Май-24, (87) –5 firewall может быть частью ОС, но никак не VPN клиентов , Вирт (?), 11:40 , 07-Май-24, (5) +3 // нет никакой разницы, с т з кода Грубо говоря, на примере линукса, нет особой р, тыквенное латте (?), 12:07 , 07-Май-24, (15) –1 Ну зачем вы такое говорите У касперсокго и нод32 свой фаервол и прекрасно они р, Бум (?), 18:34 , 10-Май-24, (126) Не использовать DHCP, а юзать статические IP адреса Не вариант , Аноним (3), 11:34 , 07-Май-24, (3) –1 // причем в url ах тоже, а еще надо помнить мак шлюза, чтобы арп не подставили, вот, Аноним (23), 12:40 , 07-Май-24, (23) 2 чая Если получил контроль над DHCP в локалке - так там до VPN-а можно всё у, 1 (??), 13:35 , 07-Май-24, (32) +1 // Вы не поверите, но не нужно получать контроля над DHCP, достаточно запустить сво, Аноним (44), 15:43 , 07-Май-24, (44) // Не поверю Так как у меня в LAN 1 юзверь на 1 VLAN , 1 (??), 16:48 , 07-Май-24, (47) +1 и локалка из одного пентиума-3 1999 года , Аноним (52), 17:40 , 07-Май-24, (52) –1 Не вариант, когда у тебя больше двух хостов А в современном жилье их даже у стар, Ivan_83 (ok), 22:57 , 07-Май-24, (61) Можно юзать dhcp и игнорировать все получаемые маршруты dns ы с сетевых интерфей, Бум (?), 18:40 , 10-Май-24, (128) // И кстати, метрика у маршрутов с дианмическим назначением гораздо выше низкоприо, Бум (?), 18:47 , 10-Май-24, (130) Объясните 822 о 822 в 822 о 822 щ 822 у 822 не шарящему в сетях, провай, Аноним (6), 11:41 , 07-Май-24, (6) // провайдер не может а чел который там работает может , Аноним (19), 12:17 , 07-Май-24, (19) +1 Читать шифрованные пакеты да, дешифровывать их нет и никогда не сможет Замедлят, cheburnator9000 (ok), 12:19 , 07-Май-24, (20) +1 // дополню - даже если провайдер подделает ваш впн сервер или айпи, то ваш клиент н, Бум (?), 18:37 , 10-Май-24, (127) Если ты к впн подключаешься напрямую без роутера или через роутер которым управл, Аноним (42), 14:56 , 07-Май-24, (42) В определенных условиях и допущениях, как оказывается, таки может попробовать , Аноним (-), 21:45 , 07-Май-24, (56) Чувак, у тебя проблема не техническая а административная Перехват твоего трафика, Ivan_83 (ok), 22:59 , 07-Май-24, (62) +1 // видимо, Аноним (96), 11:11 , 08-Май-24, (96) // Вообще-то ivan_83 как и я таки - следовали тому совету и локацию сменили И по к, Аноним (132), 06:39 , 11-Май-24, (132) Если например это роутер в гостинице и к нему подключился клиент, клиент получае, fidoman (ok), 18:22 , 08-Май-24, (103) Просто отключить DHCP, не , Аноним (7), 11:43 , 07-Май-24, (7) +1 // Ты так популярно объяснил почему в моей конфиге эта атака не сработает , Аноним (-), 21:47 , 07-Май-24, (57) И бегать настраивать по десяткам девайсов Лучше купите веб смарт свитч и настрой, Ivan_83 (ok), 23:00 , 07-Май-24, (63) // Да, настроить 1 раз по десятку устройств, и потом не париться о упавшем DHCP-се, Аноним (75), 02:27 , 08-Май-24, (75) // У меня dnsmasq ни разу ни где не падал А вообще, в локалке может быть куча DHCP , Ivan_83 (ok), 04:23 , 08-Май-24, (80) Зато у меня на OpenWRT падает постоянно Потому что превратили прошивку в раздут, Аноним (96), 11:06 , 08-Май-24, (94) и при соединении по вайфай, если адрес не задан статически, то на несколько секу, Аноним (96), 11:09 , 08-Май-24, (95) Это оффтопик http netlab dhis org wiki software openwrt software openwrt softw, Ivan_83 (ok), 13:09 , 08-Май-24, (100) Ну так сделали эрзац системды - да еще в наихучшем виде, когда jail процесс от, Аноним (-), 19:17 , 09-Май-24, (120) все современные протоколы VPN используют дэйтаграммы, а не TCP для wg0 эта атака, Аноним (7), 11:51 , 07-Май-24, (9)   // Это не так работает В ОС есть общая таблица маршрутизации Чем более длинный пр, Ivan_83 (ok), 23:07 , 07-Май-24, (64) +1   // Спасибо, понятно Значит ффтопку эти все VPNы на основе таблиц маршрутизации в я, Аноним (75), 02:38 , 08-Май-24, (76) –1   // Если у вас сокс5 прокси и впн клиент разные приложения - то будет точно так же к, Ivan_83 (ok), 04:24 , 08-Май-24, (81)   внезапно wg кладет болт на таблицу маршрутизации и заворачивает пакеты согласно , wd (?), 04:44 , 08-Май-24, (85) +1   Я чайник в сетях, поэтому мне не понятно 1 почему 0 имеет меньший приоритет, ч, Аноним (7), 11:54 , 07-Май-24, (10) +3 // Не парься, все годные закладки в железе , Аноним (14), 12:06 , 07-Май-24, (14) +1 // Какое удовольствие попариться самому, чтобы попарить закладчиков ммм , Аноним (70), 23:19 , 07-Май-24, (70) 1 При выборе маршрута берется наиболее совпадающий маршрут маска 24 означает ч, MEXAHOTABOP (ok), 12:10 , 07-Май-24, (17) +1 // Ничего не понял 1 Если 24 приоритетнее, чем 0, то почему при врубании VPN с 0, Аноним (7), 12:37 , 07-Май-24, (22) // Бугага, а конечно, чтобы их блокировать удобнее было, Аноним (23), 12:42 , 07-Май-24, (24) Скрыто модератором, Аноним (7), 12:43 , 07-Май-24, (26) –1 Т е перед тем как выдать ИПшник, ДХЦП еще и скорость мерит Или даже гонка, кто, OpenEcho (?), 23:40 , 07-Май-24, (73) Поиск идёт по самому длинному префиксу Самым приоритетным будет 32, потом 31 и, Ivan_83 (ok), 23:11 , 07-Май-24, (65) +1 // Спасибо за инфу , Аноним (75), 03:01 , 08-Май-24, (77) Потому что это все, что не указанно эксплицитли, 1 - это уже более конретней, з, OpenEcho (?), 23:36 , 07-Май-24, (72) Мощно , Аноним (13), 12:06 , 07-Май-24, (13) Можно ещё таскать с собой wifi-роутер, который будет подключаться к сети, а сам , Алкоголизм (?), 12:51 , 07-Май-24, (27) // Так тебе просто роутер целиком завернут куда не нужно, Аноним (33), 13:39 , 07-Май-24, (34) // Роутер то да, но впн клиент будет за роутером и до него вредные маршруты не дойд, Ivan_83 (ok), 23:13 , 07-Май-24, (66) +2 Я вот не понял VPN зло или DHCP , Banned (?), 13:57 , 07-Май-24, (36) // ОС которые слепо верят DHCP, Аноним (42), 15:00 , 07-Май-24, (43) +1 // Вы же верите электрикам и сантехникам - они вам базовый сервис организуют Или вы, Ivan_83 (ok), 23:15 , 07-Май-24, (67) –1 // Ага и службе безопасности верим, которая звонит с левого номера нет , а так вер, Аноним (89), 08:19 , 08-Май-24, (89) +1 А напрасно М ков которые путают фазу и ноль или просто не парятся - в природе, Аноним (-), 22:06 , 08-Май-24, (110) Уже ДАВНО есть дифф автоматы, которые гарантируют что если вы схватитесь за пров, Ivan_83 (ok), 22:19 , 08-Май-24, (111) Ну вообще-то проверявшие как это работает на своей тушке нет, сам я под 220 сов, Аноним (117), 18:25 , 09-Май-24, (117) У нас дифф миним по разу на каждом срабатывал, никто ничего не почуствовал Диф, Ivan_83 (ok), 01:48 , 10-Май-24, (121) Хрена вы там неаккуратные Я всего 1 чела видел который на себе тестил, правда, , Аноним (-), 06:47 , 11-Май-24, (133) Дифференциальный автомат Schneider Electric EZ9D22640 - 5500 руб, это самый доро, Ivan_83 (ok), 01:08 , 12-Май-24, (138) Ну дык Вот и жмутся на них А ставить китайскую электрику, особенно дешевую - ну, Аноним (-), 13:47 , 16-Май-24, (144) Это же только если правильно подключить такой автомат и правильно поставить земл, Аноним (33), 18:43 , 09-Май-24, (118) Дифф автомату земля не нужна от слова совсем, он срабатывает от РАЗНИЦЫ дифф же, Ivan_83 (ok), 01:58 , 10-Май-24, (123) Это тебе только так КАЖЕТСЯ извините, это для исчеричных чудил, которые пока чт, Аноним (33), 18:42 , 10-Май-24, (129) Да, и утекает оно обычно через тушку человека, который стоит ногами на полу или , Ivan_83 (ok), 02:30 , 11-Май-24, (131) Это как раз наименее тупой вариант Иначе остается дофига опасного контура где н, Аноним (-), 07:01 , 11-Май-24, (135) Дифавтомат таки - не оперирует землей Он ставится между фазой и нулем в разрыв , Аноним (-), 06:59 , 11-Май-24, (134) А если завесить IPv6 SLAAC или DHCP то та же винда будет считать его и его DNS-с, Tron is Whistling (?), 14:48 , 07-Май-24, (40) +2 // да и RA тоже ничего так себе , Tron is Whistling (?), 14:48 , 07-Май-24, (41) Для икспердов, которые говорят, мол, DHCP это плохо, кто получит доступ к моей л, Аноним (46), 16:00 , 07-Май-24, (46) +1 // DCHP 8212 атавизм для легаси сетей Мобильные провайдеры как раз-таки с радос, Аноним (48), 17:21 , 07-Май-24, (48) // Есть ли примеры таких провайдеров в РФ , Oleg (??), 21:08 , 07-Май-24, (54) Чувак, есть DHCPv6, и есть RA Они все ни чуть не лучше DHCPv4, просто там IPv6 , Ivan_83 (ok), 23:16 , 07-Май-24, (68) // DHCPv6 8212 костыль У RA совершенно другая семантика В частности, RA позвол, Аноним (48), 03:44 , 08-Май-24, (79) Это вообще никаким боком к DHCP Источник времени, тем более доверенный, к DCHP , Аноним (48), 17:23 , 07-Май-24, (49) // Почитайте уже какие опции есть в DHCP Там не только список DNS, но NTP, SMTP, IR, Ivan_83 (ok), 23:18 , 07-Май-24, (69) // В DHCP можно произвольную информацию передавать с кастомными номерами опций, лиш, Аноним (48), 03:43 , 08-Май-24, (78) 1 Клиент в запросе указывает опции которые он хочет Если сервер передаст лишнее, Ivan_83 (ok), 04:30 , 08-Май-24, (82) И да, админ сети может положить на вас с прибором и просто на фаере завернуть вс, Ivan_83 (ok), 04:33 , 08-Май-24, (83) Мда А ещё электрик или просто хуллиган может провести DoS атаку и вырубить автом, Ivan_83 (ok), 22:53 , 07-Май-24, (59) // Теперь ждём от авторов такие новейших открытий как - DoS атака на DHCP сервер дл, Ivan_83 (ok), 04:35 , 08-Май-24, (84) // Желаю удачи, если на всех рабочих станциях файрволы акцептят только установленны, OpenEcho (?), 13:31 , 08-Май-24, (101) // Зачем нужные фаеры за пределами роутера Это вас никак не защитит В неуправляемо, Ivan_83 (ok), 21:41 , 08-Май-24, (106) А у вас в локалках полное доверие всем Вот именно для этого локалка и должна быт, OpenEcho (?), 17:28 , 09-Май-24, (115) Доверие не нужно Я вообще думаю почти полностью отказатся от фаера дома и расшар, Ivan_83 (ok), 01:55 , 10-Май-24, (122) Это какой такой DNS сервер у вас http https понимает в конфиге , Ivan_83 (ok), 21:44 , 08-Май-24, (108) http s выше только для понимания о чем wpad и блокать надо не на ДНС а на фа, OpenEcho (?), 17:44 , 09-Май-24, (116) Походу с понимаем у вас не очень С админством тоже, ибо вместо централизованно, Ivan_83 (ok), 02:04 , 10-Май-24, (124) Ну вот на этом пожалуй и закончим, удачи в домашних локалках мистер , OpenEcho (?), 11:37 , 10-Май-24, (125) Централизованое админство имеет минус оно видите ли в случае чего очень удобно , Аноним (132), 07:04 , 11-Май-24, (136) +1 This Секьюрность не должна быть - single point of failures, это многоступенч, OpenEcho (?), 14:16 , 11-Май-24, (137) А что будет если атакующий вот этот центр сертификации - раз т - и сертифициру, Аноним (-), 14:38 , 16-Май-24, (146) Всё от установленого уровня секьюрности зависит Центр сертификации в серьёзных , OpenEcho (?), 17:19 , 16-Май-24, (148) А что будет если атакующий вот этот центр сертификации - раздолбит - и сертифици, Аноним (-), 14:39 , 16-Май-24, (147) Это вы сами себе придумали сценарий и сами его радостно хакнули , Ivan_83 (ok), 01:12 , 12-Май-24, (139) Вообще-то этот сценарий опробован на практике еще сто лет назад неким Comodohack, Аноним (-), 14:36 , 16-Май-24, (145) DHCP - костыль Использовали бы IPX и не надо было бы никакого DHCP Опять же без, 1 (??), 09:30 , 08-Май-24, (90) // DHCP relay agent, DHCP screening - проблема решена лет 15 как минимум , Ivan_83 (ok), 13:06 , 08-Май-24, (99) +1 Психология виндовс админа и цисковода С этим уже только на пенсию , Аноним (104), 20:43 , 08-Май-24, (104) // У меня длинки вебсмарт только, и венду я не админю уже лет 10 за деньги , Ivan_83 (ok), 21:43 , 08-Май-24, (107) Так вроде при использовании VPN соединение должно быть зашифровано и злоумышленн, Аноним (70), 23:26 , 07-Май-24, (71) // Соединение между девасом где клиент и хостом где впн сервер - да Но суть в том, , Ivan_83 (ok), 01:39 , 08-Май-24, (74) +1 Надо пользоваться Tor over VPN , Аноним (91), 09:46 , 08-Май-24, (91) Кто-то просто прочитал инструкцию к DHCP-серверу Уровень расследований возрос , Аноним (92), 10:01 , 08-Май-24, (92) +4 // 2 чая этому господину Как любили говорить вот и выросло поколение и оно ос, 1 (??), 11:17 , 08-Май-24, (97) Собственно именно поэтому и нужен ip netns - чтобы виртуальный интерфейс был еди, anonymous (??), 13:06 , 08-Май-24, (98) // Ну дык в дефолтном неэмспейсе сеть можно вообще выпилить Так всякое фуфло с тел, Аноним (-), 04:08 , 09-Май-24, (112) –1 Даже имея секурное клиентское устройство и правильную криптографию, можно получи, Аноним (104), 20:55 , 08-Май-24, (105) А что в списке уязвимых делает wireguard Там нет никаких DHCP, захардкоженные в , Аноним (114), 12:16 , 09-Май-24, (114) // А почему нет Вот вы будете ходить через варегард в инет 0 0 0 0 0 , а провайдер, Ivan_83 (ok), 01:16 , 12-Май-24, (140) 1,2,3,6,7,9,10,13,27,36,40,46,59,71,91,92,98,105,114

Сообщения

[Сортировка по времени | RSS]

9. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
Сообщение от Аноним (7), 07-Май-24, 11:51
>socket все современные протоколы VPN используют дэйтаграммы, а не TCP. >tun0 для wg0 эта атака тоже должна работать. Фундаментальный дефект дизайна реализации VPN - это их работа через общую таблицу маршрутизации, а не через многоуровневую, где чем раньше пакет обрабатывается таблицей - тем приоритетнее та таблица.
Ответить | Правка | Наверх | Cообщить модератору

	64. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+1 +/–
	Сообщение от Ivan_83 (ok), 07-Май-24, 23:07
	Это не так работает :) В ОС есть общая таблица маршрутизации. Чем более длинный префикс - тем более приоритетный маршрут. Вот у вас локалка до роутера 192.168.1.0/24, и роутер выдал вам дефолтный 0.0.0.0/0 через себя в инет. Вы запустили впн клиента и он условно добавил маршрут до своего 1.2.3.4/32 через роутер, потом удалил 0.0.0.0/0 через роутер и добавил 0.0.0.0/0 через роутер на том конце впн туннеля. При этом вы всё ещё можете ходить по 192.168.1.0/24 потому что оно более приоритетно. И это правильное поведение. Бывают варианты когда есть галочка типа "блокировать весь траффик мимо впн туннеля", вот она должна добавлять фаервольные правила для фильтрации всего что мимо тунеля. Есть ещё отдельная тема с name spaces в линухе и routing tables во фре. В обоих случаях есть возможность назначить отдельным приложениям свои особенные таблицы маршрутизации. На практике я бы сказал что это специфичная фича и лично я стараюсь такого избегать.
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	–1 +/–
	Сообщение от Аноним (75), 08-Май-24, 02:38
	Спасибо, понятно. Значит ффтопку эти все VPNы на основе таблиц маршрутизации в ядре, просто используем SOCKS-прокси в нужных приложениях, которые пакеты до VPN сами прокидывают. Всё идёт через прокси, если VPN упал - соединение рвётся, никаких извращённых манипуляций с таблицами маршрутизации. К сожалению UDP так не прокинуть.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 04:24
	Если у вас сокс5 прокси и впн клиент разные приложения - то будет точно так же как без сокс5.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+1 +/–
	Сообщение от wd (?), 08-Май-24, 04:44
	внезапно wg кладет болт на таблицу маршрутизации и заворачивает пакеты согласно allowed-ips чем люто бесит
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема