Հետազոտող Էրիկա Վինդիշը հայտնել է Tailscale SSH-ով լիարժեք վարչական հասանելիություն ստանալու ուղիների մասին

Tailscale-ը խնդիրները լուրջ է համարում

Tailscale-ը հայտնել է, որ SSH-ի խնդիրները լուրջ են և հիմնականում վերաբերում են արտոնությունների բարձրացմանը․ միանալու թույլտվություն արդեն ունեցող անձը կարող է ստանալ ավելին, քան նախատեսված է կարգավորված տեղային օգտատիրոջ համար։ Շահագործումը կախված է տրված թույլտվություններից, համակարգի կարգավորումներից և այլ պայմաններից։ Այն դեռ պարզում է բացահայտումների ամբողջ ծավալը և թե որ կարգավորումներն են խոցելի։

Tailscale-ի ինժեներական գծով փոխնախագահ Մայք Շեյվերն ասել է, որ ընկերությունն ստացել է Վինդիշի զեկույցը և անվտանգության արտաքին մասնագետների հետ արդեն ուսումնասիրում էր նույն ուղղությունները։ Tailscale-ը շարունակում է հայտնել, որ բոլորին խորհուրդ չի տալիս անջատել Tailscale SSH-ը։

SSH-ի վերաբերյալ ավելի վաղ բացահայտումները

The Hacker News-ը հոկտեմբերի 25-ին նկարագրել է Վինդիշի սկզբնական փորձերը։ Tailscale SSH-ը միացող սարքերին թույլտվություն է տալիս ցանցի կանոններով՝ սովորական SSH գաղտնաբառերի կամ բանալիների փոխարեն։ Ուստի նկարագրված ուղիների համար անհրաժեշտ էր արդեն հաստատված սարքի վրա ներթափանցում, բայց գողացված SSH գաղտնաբառեր կամ բանալիներ պետք չէին․ Tailscale-ը չէր ստեղծել սկզբնական ներթափանցման այդ հնարավորությունը։

Պորտերի վերահասցեավորումը կապերն անցկացնում է SSH աշխատաշրջանով։ Փորձերում նկարագրվել է երեք եղանակ, որոնցով վերահասցեավորումը թույլ է տվել դուրս գալ արտոնությունների սահմաններից․ հասնել պաշտպանված համակարգային սոկետի՝ տեղային հաղորդակցման վերջնակետի, փոխարինել գերօգտատիրոջը պատկանող սոկետը՝ որոշ ծառայություններում վարչական մակարդակի հրամաններ կատարելու համար, և օգտվել ֆայլերի ուղիների ստուգման ժամանակային թերությունից։ Վինդիշն ասել է, որ վերջին շղթան որսացել է սարքի գրանցման բանալին և հարձակվողի համակարգիչը գրանցել որպես վստահելի սերվեր միայն այն դեպքում, երբ անջատված է եղել Tailscale-ի՝ սարքերի գրանցումը պաշտպանող Tailnet Lock գործառույթը։ Միացված լինելու դեպքում գաղտնի տվյալները որսացվել են փոխանցման ընթացքում, բայց գրանցումը չի ավարտվել։

Վինդիշն ասել է, որ ցուցադրական կոդը հրապարակված չէ և տրամադրվել է միայն Tailscale-ի անվտանգության հարցերով պատասխանատուին։

Վերլուծություն

Նկարագրված տարածման սահմանները

Վինդիշն արդյունքը բնորոշել է որպես «որդի պես ինքնատարածվող»՝ նկատի ունենալով, որ այն կարող է ինքնաշխատ տարածվել սարքերի միջև։ Նա նկարագրել է լաբորատոր տարածումը դեպի հասանելիության կանոններով թույլատրված սարքերը՝ առանց գաղտնաբառերի, գողացված բանալիների կամ օգտատիրոջ գործողության, յուրաքանչյուր քայլի համար մեկ վայրկյանից էլ քիչ ժամանակում։ Որոշ հետազոտողներ կասկածի տակ են դրել այդ բնորոշումը, իսկ մյուսները գերօգտատիրոջ հասանելիության բացահայտումը լուրջ են համարել։ Իրական ցանցերում նման տարածում չի դիտարկվել։

Մեկ սկզբնաղբյուր սարքը մեկ թիրախային սարքի հետ կապող հստակ կանոնները փորձերի ընթացքում կանգնեցրել են տարածումը։ Սարքի ապարատային բաղադրիչին կապված բանալիները նույնպես սահմանափակել են հարձակումը։ Այսպիսով՝ նկարագրված տարածումը սահմանափակված էր յուրաքանչյուր սարքի թույլտվություններով և չէր ապահովում հասանելիություն բոլոր համակարգիչներին՝ անկախ ցանցի կանոններից։

Պաշտպանական միջոցները՝ մինչև շտկումների թողարկումը

Tailscale-ը խորհուրդ է տալիս SSH հասանելիությունը սահմանափակել այն օգտատերերով ու սարքերով, որոնց դա անհրաժեշտ է, հատկապես զգայուն համակարգերի դեպքում։ Հոկտեմբերի 27-ի խորհուրդներում նաև ներկայացված է SSH վերահասցեավորումն ամբողջ ծառայության համար անջատելու եղանակ՝ առանց Tailscale SSH-ն անջատելու․ tailscaled ծառայության միջավայրում պետք է սահմանել TS_SSH_DISABLE_FORWARDING=1 և վերագործարկել ծառայությունը։ Ընկերության խոսքով՝ դա մեղմում է մի քանի առավել լուրջ բացահայտումների հետ կապված ռիսկերը։

• Նույնականացման տվյալների կամ պիտակների հիման վրա տրվող լայն SSH թույլտվությունները փոխարինել սարքից սարք հասանելիություն տվող հստակ կանոններով։ Վինդիշի փորձերում դա սահմանափակել է տարածումը, բայց չի շտկել արտոնությունների բարձրացման թերությունը։
• Միացնել սարքերի բանալիների վավերականության ժամկետի սահմանափակումը և կոտրված սարքերը հեռացնել ցանցի կենտրոնական կառավարման ծառայության միջոցով։ Օպերացիոն համակարգի վերատեղադրումը չի անվավերացնում հարձակվողի պատճենած բանալիները։
• Օգտագործել SSH ստուգման ռեժիմը՝ մուտք գործելու լրացուցիչ քայլ ավելացնելու համար՝ նկատի ունենալով, որ այն չի շտկում արտոնությունների բարձրացման թերությունը։ Tailscale-ը նաև խորհուրդ է տալիս միացնել ինքնաշխատ թարմացումները։

Tailscale-ը նպատակ ունի շտկումները թողարկել մինչև հոկտեմբերի 27-ի ավարտը։ Սա թողարկման նպատակային ժամկետ է, ոչ թե արդեն հասանելի շտկում․ ընկերությունը հորդորում է ադմինիստրատորներին պատրաստվել թարմացմանը և տեղադրել շտկված Tailscale հաճախորդը, երբ այն հասանելի դառնա։