VPN

VPN (Virtual Private Network) to według CERT Polska mechanizm tworzenia szyfrowanego połączenia przez niezabezpieczoną sieć, najczęściej internet ^[1]. Ruch urządzenia trafia najpierw do bramy VPN, a dopiero stamtąd do celu. Dzięki temu pracownik zdalny korzysta z zasobów firmy tak, jakby był w sieci lokalnej, a użytkownik usługi konsumenckiej wychodzi do internetu z adresu dostawcy. Skrót odmienia się z łącznikiem: VPN-a, VPN-y, VPN-ów; w wyrażeniach „tunel VPN”, „brama VPN” i „klient VPN” zostaje bez odmiany.

Jak działa

Klient VPN na urządzeniu użytkownika zestawia z bramą szyfrowany tunel. Pakiety przeznaczone dla sieci docelowej są w nim szyfrowane i opakowane w zwykłe pakiety internetowe, więc pośrednicy na trasie, np. operator publicznej sieci Wi-Fi, widzą tylko połączenie z bramą. Brama rozpakowuje ruch i przekazuje go dalej.

RYS. 1Dostęp zdalny przez firmowy VPN

VPN chroni dane w drodze, ale nie końcowe urządzenia. Zainfekowany laptop z działającym tunelem otwiera atakującemu tę samą drogę do sieci firmy co pracownikowi.

Rodzaje

CERT Polska omawia trzy grupy technologii VPN ^[1].

IPsec NIST opisuje jako szeroko stosowane zabezpieczenie warstwy sieciowej i zestaw otwartych standardów zapewniających prywatną komunikację w sieciach IP ^[2]. Wytyczne NIST z czerwca 2020 roku omawiają konfigurację z protokołem wymiany kluczy IKE ^[2].

SSL/TLS VPN korzysta z protokołu TLS, tego samego, który zabezpiecza HTTPS.

WireGuard według jego twórców używa kryptografii Curve25519, ChaCha20, Poly1305 i BLAKE2 w ramach frameworku Noise ^[3]. Działa w jądrze Linuksa i jest dostępny także na Windows, macOS, BSD, iOS i Androida ^[3]. Projekt podkreśla, że ma dać się zaimplementować w niewielkiej liczbie linii kodu i łatwo przejrzeć pod kątem podatności ^[3].

VPN firmowy a komercyjny. Serwis niebezpiecznik.pl zwraca uwagę, że VPN firmowy podłącza pracownika do wewnętrznej sieci firmy, a komercyjny nie daje dostępu do żadnej wewnętrznej infrastruktury ^[5]. Komercyjny VPN ukrywa ruch przed dostawcą łącza, który widzi tylko połączenie z serwerem VPN, ale wgląd w ruch ma wtedy operator tego serwera ^[5]. Autorzy podsumowują, że korzystanie z komercyjnego VPN-a przesuwa ryzyko z jednego operatora na drugiego ^[5]. Nie chroni też przed śledzeniem przez ciasteczka ^[5].

W WordPressie

Na stronie WordPress VPN nie jest elementem samej aplikacji, lecz sposobem ochrony dróg dostępu do niej: panelu wp-admin, serwera przez SSH lub SFTP oraz bazy danych.

Zaufana sieć. Dokumentacja WordPressa przypomina, że sieć po obu stronach, serwera i klienta, powinna być zaufana ^[7]. Jako przykład sieci niezaufanej podaje kawiarnię internetową, z której hasła wysyła się przez nieszyfrowane połączenie ^[7]. Tunel VPN zmniejsza ryzyka opisane w hasłach zagrożenia publicznych sieci Wi-Fi i man-in-the-middle (MITM), choć przy połączeniu HTTPS dane logowania i tak są szyfrowane.

Ograniczenie panelu do adresu bramy. Dokumentacja podaje przykład reguły Apache, która dopuszcza do pliku wp-login.php tylko wskazane adresy IP ^[6]. Jeśli administratorzy łączą się przez firmową bramę VPN o stałym adresie, lista może zawierać tylko ten adres; to odmiana białej listy adresów IP (IP allowlisting).

<Files "wp-login.php">
  Require ip 203.0.113.15
</Files>

Takie ograniczenie uzupełnia, a nie zastępuje uwierzytelnianie wieloskładnikowe (MFA) i limit prób logowania na samej stronie. Przy dostępie administracyjnym do serwera podobną rolę pełni bastion host.

Zagrożenia i skutki

Brama VPN jest wystawiona do internetu i daje dostęp do sieci wewnętrznej, dlatego sama jest atrakcyjnym celem. CERT Polska pisze wprost, że bramy VPN są celem ataków i trzeba na bieżąco śledzić poprawki bezpieczeństwa ^[1]. Wśród częstych błędów wymienia brak MFA, publicznie wystawiony panel administracyjny bramy, nieaktualne oprogramowanie, konto usługowe LDAP z uprawnieniami administratora, brak ograniczeń dla użytkowników oraz brak logowania i monitorowania ^[1].

Przykład. 13 grudnia 2022 roku CERT Polska ostrzegł przed krytyczną podatnością CVE-2022-42475 w module SSL-VPN systemu Fortinet FortiOS, pozwalającą na zdalne wykonanie kodu (RCE) bez uwierzytelnienia ^[4]. Podatność była aktywnie wykorzystywana w atakach, zanim ujawniono jej istnienie ^[4], czyli była to podatność zero-day. CERT Polska zalecił aktualizację oprogramowania, a gdy nie była możliwa, wyłączenie funkcji SSL-VPN; doradził też ograniczenie połączeń według lokalizacji i przegląd logów oraz plików systemowych ^[4].

Jak się bronić

Rekomendacje CERT Polska dla bezpiecznego dostępu zdalnego obejmują ^[1]:

• uwierzytelnianie wieloskładnikowe, które zapobiega atakom opartym wyłącznie na kradzieży hasła, np. z aplikacją TOTP albo kluczem sprzętowym FIDO2;
• segmentację sieci: ruch z tunelu nie powinien trafiać bezpośrednio do głównej podsieci LAN, a brama powinna przydzielać adresy z wydzielonego segmentu;
• dostęp tylko do usług i portów potrzebnych danemu pracownikowi, zgodnie z zasadą najmniejszych uprawnień;
• bieżące instalowanie poprawek na bramach;
• logowanie i monitorowanie połączeń.

Klasyczny VPN wpuszcza użytkownika do segmentu sieci. Model Zero Trust i rozwiązania ZTNA idą dalej: każde połączenie z aplikacją jest weryfikowane osobno, bez domyślnego zaufania do urządzeń w sieci wewnętrznej.