Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака TunnelVision, позволяющая перенаправить VPN-трафик через манипуляции с DHCP, opennews (??), 07-Май-24, (0) [смотреть все] Круто, спасибо за информацию , tcpip (??), 11:31 , 07-Май-24, (1) // при наличии доступа к локальной сети перестал дальше читать, лол, КО (?), 12:04 , 07-Май-24, (12) +13 // да пусть даже доступ будет Современные энтерпрайз давно умеют отсекать неавтори, Анониматор (?), 12:20 , 07-Май-24, (21) +3 // Вы только сообщите об этом современным энтерпрайз админам, что бы они всё это на, Аноним (28), 12:52 , 07-Май-24, (28) +14 Я сначала также подумал, но, с другой стороны VPN часто рекламируют как способ о, Анонимус3000 (?), 12:42 , 07-Май-24, (25) +8 // В публичных сетях скорее всего пользуешься андроидом, где атака не работает Есл, Аноним (33), 13:37 , 07-Май-24, (33) –6 Только в этой рекламе забывают рассказать, что сервер VPN должен быть свой, а не, EULA (?), 12:07 , 13-Май-24, (141) клиенты под вирегуард попенвпн самому собирать тобишь , нейм (?), 08:15 , 16-Май-24, (143) Сервер для начала свой собрать Кто даст гарантию, что на чужом сервере нет мужик, EULA (?), 05:15 , 17-Май-24, (149) Это история про провайдеров, когда роутер провайдерский , Аноним (29), 12:55 , 07-Май-24, (29) // Это история про любую локалку со злоумышленном внутри и где комутаторы не фильру, Ivan_83 (ok), 22:55 , 07-Май-24, (60) +2 А в чем проблема Допустим у тебя есть роутер с впном, есть праводер которому эт, Аноним (-), 21:43 , 07-Май-24, (55) // а ты посмотри на add-default-route для VPN и для DHCP clientв худшем случае, есл, penetrator (?), 05:43 , 08-Май-24, (86) Я обычно не юзаю DHCP - так что на меня этот чит вообще не сработает Но идея пр, Аноним (-), 10:12 , 08-Май-24, (93) +1 А зря, сеть до провайдера - тоже LAN, а адреса он обычно раздает по DHCP , fi (ok), 17:35 , 08-Май-24, (102) +1 // Только это часто ADSL GPON где линк абонент-провайдер можно сказать физически из, Ivan_83 (ok), 22:05 , 08-Май-24, (109) +1 1 схема VLAN per customer как раз работает поверх LAN - вот тут и прилетит DH, fi (ok), 13:09 , 13-Май-24, (142) Сразу хотелось бы вставить часть комментария с HN They also claim that it affec, Bklrexte (ok), 11:31 , 07-Май-24, (2) // А у нас вообще запрещены, так, что не страшно https opennet ru 46944-law, Аноним (4), 11:35 , 07-Май-24, (4) +6 // Всегда поражался тупостью местных законовыдумывателей, им там хоть раз в голову , cheburnator9000 (ok), 12:15 , 07-Май-24, (18) // Тупость это когда от действий страдает придумывающий всё это В данном случае ст, Аноним (33), 13:43 , 07-Май-24, (35) +2 И в чем проблема Вот прикрутили бота-модератора помимо админов и норм на Опенн, Banned (?), 14:12 , 07-Май-24, (38) Просто некоторые мб никогда не взаимодействовали с формальщиной далее чем подпис, Бывалый Смузихлёб (ok), 07:44 , 08-Май-24, (87) –5 firewall может быть частью ОС, но никак не VPN клиентов , Вирт (?), 11:40 , 07-Май-24, (5) +3 // нет никакой разницы, с т з кода Грубо говоря, на примере линукса, нет особой р, тыквенное латте (?), 12:07 , 07-Май-24, (15) –1 Ну зачем вы такое говорите У касперсокго и нод32 свой фаервол и прекрасно они р, Бум (?), 18:34 , 10-Май-24, (126) Не использовать DHCP, а юзать статические IP адреса Не вариант , Аноним (3), 11:34 , 07-Май-24, (3) –1 // причем в url ах тоже, а еще надо помнить мак шлюза, чтобы арп не подставили, вот, Аноним (23), 12:40 , 07-Май-24, (23) 2 чая Если получил контроль над DHCP в локалке - так там до VPN-а можно всё у, 1 (??), 13:35 , 07-Май-24, (32) +1 // Вы не поверите, но не нужно получать контроля над DHCP, достаточно запустить сво, Аноним (44), 15:43 , 07-Май-24, (44) // Не поверю Так как у меня в LAN 1 юзверь на 1 VLAN , 1 (??), 16:48 , 07-Май-24, (47) +1 и локалка из одного пентиума-3 1999 года , Аноним (52), 17:40 , 07-Май-24, (52) –1 Не вариант, когда у тебя больше двух хостов А в современном жилье их даже у стар, Ivan_83 (ok), 22:57 , 07-Май-24, (61) Можно юзать dhcp и игнорировать все получаемые маршруты dns ы с сетевых интерфей, Бум (?), 18:40 , 10-Май-24, (128) // И кстати, метрика у маршрутов с дианмическим назначением гораздо выше низкоприо, Бум (?), 18:47 , 10-Май-24, (130) Объясните 822 о 822 в 822 о 822 щ 822 у 822 не шарящему в сетях, провай, Аноним (6), 11:41 , 07-Май-24, (6) // провайдер не может а чел который там работает может , Аноним (19), 12:17 , 07-Май-24, (19) +1 Читать шифрованные пакеты да, дешифровывать их нет и никогда не сможет Замедлят, cheburnator9000 (ok), 12:19 , 07-Май-24, (20) +1 // дополню - даже если провайдер подделает ваш впн сервер или айпи, то ваш клиент н, Бум (?), 18:37 , 10-Май-24, (127) Если ты к впн подключаешься напрямую без роутера или через роутер которым управл, Аноним (42), 14:56 , 07-Май-24, (42) В определенных условиях и допущениях, как оказывается, таки может попробовать , Аноним (-), 21:45 , 07-Май-24, (56) Чувак, у тебя проблема не техническая а административная Перехват твоего трафика, Ivan_83 (ok), 22:59 , 07-Май-24, (62) +1 // видимо, Аноним (96), 11:11 , 08-Май-24, (96) // Вообще-то ivan_83 как и я таки - следовали тому совету и локацию сменили И по к, Аноним (132), 06:39 , 11-Май-24, (132) Если например это роутер в гостинице и к нему подключился клиент, клиент получае, fidoman (ok), 18:22 , 08-Май-24, (103) Просто отключить DHCP, не , Аноним (7), 11:43 , 07-Май-24, (7) +1 // Ты так популярно объяснил почему в моей конфиге эта атака не сработает , Аноним (-), 21:47 , 07-Май-24, (57) И бегать настраивать по десяткам девайсов Лучше купите веб смарт свитч и настрой, Ivan_83 (ok), 23:00 , 07-Май-24, (63) // Да, настроить 1 раз по десятку устройств, и потом не париться о упавшем DHCP-се, Аноним (75), 02:27 , 08-Май-24, (75) // У меня dnsmasq ни разу ни где не падал А вообще, в локалке может быть куча DHCP , Ivan_83 (ok), 04:23 , 08-Май-24, (80) Зато у меня на OpenWRT падает постоянно Потому что превратили прошивку в раздут, Аноним (96), 11:06 , 08-Май-24, (94) и при соединении по вайфай, если адрес не задан статически, то на несколько секу, Аноним (96), 11:09 , 08-Май-24, (95) Это оффтопик http netlab dhis org wiki software openwrt software openwrt softw, Ivan_83 (ok), 13:09 , 08-Май-24, (100) Ну так сделали эрзац системды - да еще в наихучшем виде, когда jail процесс от, Аноним (-), 19:17 , 09-Май-24, (120) все современные протоколы VPN используют дэйтаграммы, а не TCP для wg0 эта атака, Аноним (7), 11:51 , 07-Май-24, (9) // Это не так работает В ОС есть общая таблица маршрутизации Чем более длинный пр, Ivan_83 (ok), 23:07 , 07-Май-24, (64) +1 // Спасибо, понятно Значит ффтопку эти все VPNы на основе таблиц маршрутизации в я, Аноним (75), 02:38 , 08-Май-24, (76) –1 // Если у вас сокс5 прокси и впн клиент разные приложения - то будет точно так же к, Ivan_83 (ok), 04:24 , 08-Май-24, (81) внезапно wg кладет болт на таблицу маршрутизации и заворачивает пакеты согласно , wd (?), 04:44 , 08-Май-24, (85) +1 Я чайник в сетях, поэтому мне не понятно 1 почему 0 имеет меньший приоритет, ч, Аноним (7), 11:54 , 07-Май-24, (10) +3 // Не парься, все годные закладки в железе , Аноним (14), 12:06 , 07-Май-24, (14) +1 // Какое удовольствие попариться самому, чтобы попарить закладчиков ммм , Аноним (70), 23:19 , 07-Май-24, (70) 1 При выборе маршрута берется наиболее совпадающий маршрут маска 24 означает ч, MEXAHOTABOP (ok), 12:10 , 07-Май-24, (17) +1 // Ничего не понял 1 Если 24 приоритетнее, чем 0, то почему при врубании VPN с 0, Аноним (7), 12:37 , 07-Май-24, (22) // Бугага, а конечно, чтобы их блокировать удобнее было, Аноним (23), 12:42 , 07-Май-24, (24) Скрыто модератором, Аноним (7), 12:43 , 07-Май-24, (26) –1 Т е перед тем как выдать ИПшник, ДХЦП еще и скорость мерит Или даже гонка, кто, OpenEcho (?), 23:40 , 07-Май-24, (73) Поиск идёт по самому длинному префиксу Самым приоритетным будет 32, потом 31 и, Ivan_83 (ok), 23:11 , 07-Май-24, (65) +1 // Спасибо за инфу , Аноним (75), 03:01 , 08-Май-24, (77) Потому что это все, что не указанно эксплицитли, 1 - это уже более конретней, з, OpenEcho (?), 23:36 , 07-Май-24, (72) Мощно , Аноним (13), 12:06 , 07-Май-24, (13) Можно ещё таскать с собой wifi-роутер, который будет подключаться к сети, а сам , Алкоголизм (?), 12:51 , 07-Май-24, (27) // Так тебе просто роутер целиком завернут куда не нужно, Аноним (33), 13:39 , 07-Май-24, (34) // Роутер то да, но впн клиент будет за роутером и до него вредные маршруты не дойд, Ivan_83 (ok), 23:13 , 07-Май-24, (66) +2 Я вот не понял VPN зло или DHCP , Banned (?), 13:57 , 07-Май-24, (36) // ОС которые слепо верят DHCP, Аноним (42), 15:00 , 07-Май-24, (43) +1 // Вы же верите электрикам и сантехникам - они вам базовый сервис организуют Или вы, Ivan_83 (ok), 23:15 , 07-Май-24, (67) –1 // Ага и службе безопасности верим, которая звонит с левого номера нет , а так вер, Аноним (89), 08:19 , 08-Май-24, (89) +1 А напрасно М ков которые путают фазу и ноль или просто не парятся - в природе, Аноним (-), 22:06 , 08-Май-24, (110) Уже ДАВНО есть дифф автоматы, которые гарантируют что если вы схватитесь за пров, Ivan_83 (ok), 22:19 , 08-Май-24, (111) Ну вообще-то проверявшие как это работает на своей тушке нет, сам я под 220 сов, Аноним (117), 18:25 , 09-Май-24, (117) У нас дифф миним по разу на каждом срабатывал, никто ничего не почуствовал Диф, Ivan_83 (ok), 01:48 , 10-Май-24, (121) Хрена вы там неаккуратные Я всего 1 чела видел который на себе тестил, правда, , Аноним (-), 06:47 , 11-Май-24, (133) Дифференциальный автомат Schneider Electric EZ9D22640 - 5500 руб, это самый доро, Ivan_83 (ok), 01:08 , 12-Май-24, (138) Ну дык Вот и жмутся на них А ставить китайскую электрику, особенно дешевую - ну, Аноним (-), 13:47 , 16-Май-24, (144) Это же только если правильно подключить такой автомат и правильно поставить земл, Аноним (33), 18:43 , 09-Май-24, (118) Дифф автомату земля не нужна от слова совсем, он срабатывает от РАЗНИЦЫ дифф же, Ivan_83 (ok), 01:58 , 10-Май-24, (123) Это тебе только так КАЖЕТСЯ извините, это для исчеричных чудил, которые пока чт, Аноним (33), 18:42 , 10-Май-24, (129) Да, и утекает оно обычно через тушку человека, который стоит ногами на полу или , Ivan_83 (ok), 02:30 , 11-Май-24, (131) Это как раз наименее тупой вариант Иначе остается дофига опасного контура где н, Аноним (-), 07:01 , 11-Май-24, (135) Дифавтомат таки - не оперирует землей Он ставится между фазой и нулем в разрыв , Аноним (-), 06:59 , 11-Май-24, (134) А если завесить IPv6 SLAAC или DHCP то та же винда будет считать его и его DNS-с, Tron is Whistling (?), 14:48 , 07-Май-24, (40) +2 // да и RA тоже ничего так себе , Tron is Whistling (?), 14:48 , 07-Май-24, (41) Для икспердов, которые говорят, мол, DHCP это плохо, кто получит доступ к моей л, Аноним (46), 16:00 , 07-Май-24, (46) +1   // DCHP 8212 атавизм для легаси сетей Мобильные провайдеры как раз-таки с радос, Аноним (48), 17:21 , 07-Май-24, (48)   // Есть ли примеры таких провайдеров в РФ , Oleg (??), 21:08 , 07-Май-24, (54)   Чувак, есть DHCPv6, и есть RA Они все ни чуть не лучше DHCPv4, просто там IPv6 , Ivan_83 (ok), 23:16 , 07-Май-24, (68)   // DHCPv6 8212 костыль У RA совершенно другая семантика В частности, RA позвол, Аноним (48), 03:44 , 08-Май-24, (79)   Это вообще никаким боком к DHCP Источник времени, тем более доверенный, к DCHP , Аноним (48), 17:23 , 07-Май-24, (49)   // Почитайте уже какие опции есть в DHCP Там не только список DNS, но NTP, SMTP, IR, Ivan_83 (ok), 23:18 , 07-Май-24, (69)   // В DHCP можно произвольную информацию передавать с кастомными номерами опций, лиш, Аноним (48), 03:43 , 08-Май-24, (78)   1 Клиент в запросе указывает опции которые он хочет Если сервер передаст лишнее, Ivan_83 (ok), 04:30 , 08-Май-24, (82)   И да, админ сети может положить на вас с прибором и просто на фаере завернуть вс, Ivan_83 (ok), 04:33 , 08-Май-24, (83)   Мда А ещё электрик или просто хуллиган может провести DoS атаку и вырубить автом, Ivan_83 (ok), 22:53 , 07-Май-24, (59) // Теперь ждём от авторов такие новейших открытий как - DoS атака на DHCP сервер дл, Ivan_83 (ok), 04:35 , 08-Май-24, (84) // Желаю удачи, если на всех рабочих станциях файрволы акцептят только установленны, OpenEcho (?), 13:31 , 08-Май-24, (101) // Зачем нужные фаеры за пределами роутера Это вас никак не защитит В неуправляемо, Ivan_83 (ok), 21:41 , 08-Май-24, (106) А у вас в локалках полное доверие всем Вот именно для этого локалка и должна быт, OpenEcho (?), 17:28 , 09-Май-24, (115) Доверие не нужно Я вообще думаю почти полностью отказатся от фаера дома и расшар, Ivan_83 (ok), 01:55 , 10-Май-24, (122) Это какой такой DNS сервер у вас http https понимает в конфиге , Ivan_83 (ok), 21:44 , 08-Май-24, (108) http s выше только для понимания о чем wpad и блокать надо не на ДНС а на фа, OpenEcho (?), 17:44 , 09-Май-24, (116) Походу с понимаем у вас не очень С админством тоже, ибо вместо централизованно, Ivan_83 (ok), 02:04 , 10-Май-24, (124) Ну вот на этом пожалуй и закончим, удачи в домашних локалках мистер , OpenEcho (?), 11:37 , 10-Май-24, (125) Централизованое админство имеет минус оно видите ли в случае чего очень удобно , Аноним (132), 07:04 , 11-Май-24, (136) +1 This Секьюрность не должна быть - single point of failures, это многоступенч, OpenEcho (?), 14:16 , 11-Май-24, (137) А что будет если атакующий вот этот центр сертификации - раз т - и сертифициру, Аноним (-), 14:38 , 16-Май-24, (146) Всё от установленого уровня секьюрности зависит Центр сертификации в серьёзных , OpenEcho (?), 17:19 , 16-Май-24, (148) А что будет если атакующий вот этот центр сертификации - раздолбит - и сертифици, Аноним (-), 14:39 , 16-Май-24, (147) Это вы сами себе придумали сценарий и сами его радостно хакнули , Ivan_83 (ok), 01:12 , 12-Май-24, (139) Вообще-то этот сценарий опробован на практике еще сто лет назад неким Comodohack, Аноним (-), 14:36 , 16-Май-24, (145) DHCP - костыль Использовали бы IPX и не надо было бы никакого DHCP Опять же без, 1 (??), 09:30 , 08-Май-24, (90) // DHCP relay agent, DHCP screening - проблема решена лет 15 как минимум , Ivan_83 (ok), 13:06 , 08-Май-24, (99) +1 Психология виндовс админа и цисковода С этим уже только на пенсию , Аноним (104), 20:43 , 08-Май-24, (104) // У меня длинки вебсмарт только, и венду я не админю уже лет 10 за деньги , Ivan_83 (ok), 21:43 , 08-Май-24, (107) Так вроде при использовании VPN соединение должно быть зашифровано и злоумышленн, Аноним (70), 23:26 , 07-Май-24, (71) // Соединение между девасом где клиент и хостом где впн сервер - да Но суть в том, , Ivan_83 (ok), 01:39 , 08-Май-24, (74) +1 Надо пользоваться Tor over VPN , Аноним (91), 09:46 , 08-Май-24, (91) Кто-то просто прочитал инструкцию к DHCP-серверу Уровень расследований возрос , Аноним (92), 10:01 , 08-Май-24, (92) +4 // 2 чая этому господину Как любили говорить вот и выросло поколение и оно ос, 1 (??), 11:17 , 08-Май-24, (97) Собственно именно поэтому и нужен ip netns - чтобы виртуальный интерфейс был еди, anonymous (??), 13:06 , 08-Май-24, (98) // Ну дык в дефолтном неэмспейсе сеть можно вообще выпилить Так всякое фуфло с тел, Аноним (-), 04:08 , 09-Май-24, (112) –1 Даже имея секурное клиентское устройство и правильную криптографию, можно получи, Аноним (104), 20:55 , 08-Май-24, (105) А что в списке уязвимых делает wireguard Там нет никаких DHCP, захардкоженные в , Аноним (114), 12:16 , 09-Май-24, (114) // А почему нет Вот вы будете ходить через варегард в инет 0 0 0 0 0 , а провайдер, Ivan_83 (ok), 01:16 , 12-Май-24, (140) 1,2,3,6,7,9,10,13,27,36,40,46,59,71,91,92,98,105,114

Сообщения

[Сортировка по времени | RSS]

46. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+1 +/–
Сообщение от Аноним (46), 07-Май-24, 16:00
Для икспердов, которые говорят, мол, DHCP это плохо, кто получит доступ к моей локалке, это всё только если роутер от провайдера  и т.д. — бвспомните про публичные сети (кафе, отели), особенно для тех мест, где иначе доступ к интернету не получить (например, деревня далеко от города). Ещё бывают публичные сети корпоративные, там тоже подвержено. А по поводу DHCP — полезная технология, без неё, например, мобильный доступ к интернету был сложнее. Или хотя бы про поддержку синхронизации времени по NTP у доверенных источников
Ответить | Правка | Наверх | Cообщить модератору

	48. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (48), 07-Май-24, 17:21
	> DHCP — полезная технология, без неё, например, мобильный доступ к интернету был сложнее DCHP — атавизм для легаси сетей. Мобильные провайдеры как раз-таки с радостью выкидывают этот хлам и переходят на сингл стэк IPv6 с NAT64/DNS64 для IPv4.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Oleg (??), 07-Май-24, 21:08
	Есть ли примеры таких провайдеров в РФ?
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 07-Май-24, 23:16
	Чувак, есть DHCPv6, и есть RA. Они все ни чуть не лучше DHCPv4, просто там IPv6.
	Ответить | Правка | К родителю #48 | Наверх | Cообщить модератору

	79. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (48), 08-Май-24, 03:44
	DHCPv6 — костыль. У RA совершенно другая семантика. В частности, RA позволяет динамически перенастраивать клиентов.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (48), 07-Май-24, 17:23
	> Или хотя бы про поддержку синхронизации времени по NTP у доверенных источников Это вообще никаким боком к DHCP. Источник времени, тем более доверенный, к DCHP никак не относится и без MACSec в данном случае неосуществим.
	Ответить | Правка | К родителю #46 | Наверх | Cообщить модератору

	69. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 07-Май-24, 23:18
	Почитайте уже какие опции есть в DHCP. Там не только список DNS, но NTP, SMTP, IRC, WINS, и уже не помню чего ещё.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Аноним (48), 08-Май-24, 03:43
	В DHCP можно произвольную информацию передавать с кастомными номерами опций, лишь бы клиент и сервер оба знали, что с ними делать. Это как раз не проблема. Проблема в том, что проверить подлинность ответов DHCP никак нельзя без криптографии. Поэтому с голым DHCP «про поддержку синхронизации времени по NTP у _доверенных_ источников» можно забыть.
	Ответить | Правка | Наверх | Cообщить модератору

	82. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 04:30
	1. Клиент в запросе указывает опции которые он хочет. Если сервер передаст лишнее то клиент это проигнорит. А может и вообще дропнет пакет, надо смотреть настройки и реализации. 2. Крипта не нужна. В управляемой сети ответы можно получать только от строго определённых админом хостов подключённых к определённым портам. 3. Есть совсем управляемые сети, где хосту надо пройти авторизацию прежде чем коммутатор его выпустит в общую сеть. На практике такое редко делают, обычно в совсем лютых местах в плане безопасности :) Авторизация там не хуже чем в вифи: пароль или сертификат, но без возможности перехвата.
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Атака TunnelVision, позволяющая перенаправить VPN-трафик чер..."	+/–
	Сообщение от Ivan_83 (ok), 08-Май-24, 04:33
	И да, админ сети может положить на вас с прибором и просто на фаере завернуть все запросы к 123 порту на свой локальный NTP сервер. Аналогично с DNS. Я так иногда делаю и делал. Ещё и 80 в сквид на кеширование и резалку рекламы заворачивал раньше.
	Ответить | Правка | К родителю #78 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема