Приватный канал

Степан Ильин aka Step

Xakep, номер #069, стр. 069-068-4

Атаки на VPN

Важно понять, что все эти протоколы не шифруют данные, а лишь определяют используемые алгоритмы шифрования. И помимо этого контролируют остальные параметры VPN-туннеля. Немало умников пыталось найти в этих протоколах какой-нибудь изъян, серьезную ошибку, грозящую нарушить целостность приватной сети. Но… за последнее время не было найдено ни одной более-менее серьезной уязвимости. Отсюда делаем вывод: браться за взлом VPN-сети на уровне протокола – дело неблагодарное.

Взламывать шифр – тоже не лучшее предложение, т.к. используемые в технологи VPN алгоритмы более чем устойчивы к подобным атакам. Для декодирования идущих по сети данных, пожалуй, не хватит потенциала даже среднего суперкомпьютера. Что уж говорить об обычном PC. Тем более, никто не может дать гарантию, что ты возьмешься за дешифровку именно той информации, которая тебе интересна.

Короче говоря, складывается впечатление, что сама по себе технология VPN практически безупречна. Безупречна-то она, может, и безупречна, но всю ее хваленую надежность могут с легкостью свести на нет даже незначительные ошибки в используемом оборудовании. И это особенно актуально, когда VPN обеспечивается чисто программными средствами. Так как в этом случае любое проникновение в ось, поддерживающую VPN-шлюз, может обернуться потерей конфиденциальной информации. Тут уже не помогут даже самые стойкие криптографические алгоритмы и длинные ключи. Печально. И особенно потому, что взлом ОС – задача довольно стандартная и зачастую легко реализуемая благодаря багам в различных сервисах и ядре системы.

Аппаратные средства хотя и считаются куда более безопасными, но и на них особенно надеяться не приходится. Поищи интереса ради в багтраке заметки об уязвимостях в VPN-оборудовании. Уверяю тебя, ты будешь неприятно удивлен! Критических ошибок немеренно. Причем в самом разном оборудовании - как в серверном, так и в клиентском. Публичные эксплоиты, слава Богу, на каждом шагу не валяются, но в приватных архивах подобного добра наверняка хватает. Особенно с учетом официально признанной крупной утечки исходников Cisco.

Напоследок

В последнее время VPN начинают встречаться все чаще и чаще. Так что ты в порядке вещей должен как можно быстрее познакомиться с этой поистине революционной технологией. Иначе не исключено, что рано или поздно ты попадешь впросак, оприходовав свежий сервак с установленным на нем VPN-шлюзом и не зная, с какой стороны к нему подойти :).

Даешь анонимность!

В последнее время все популярнее становится мегамодный сервис – анонимные VPN-шлюзы. Если увидишь громкие слоганы «Долой носки и прокси, да здравствует VPN!», знай - это оно! Предприимчивые перцы арендуют за бугром широкий канал, налаживают защищенный VPN-шлюз и начинают продавать VPN-аккаунты за деньги. Потенциальный покупатель в этом случае получает офигительный сервис. Первостепенная его задача – разумеется, обеспечение анонимности. А ее хоть отбавляй. Куда бы ты ни пошел, какой бы софт ни использовал – везде будет светиться IP-шник, выделенный тебе VPN-шлюзом. Естественно, носки и прокси еще никто не отменял. Но, коллега, поверь мне - этот способ обеспечения анонимности куда лучше. И не подумай, что это реклама. Никак нет! Я сужу по себе: как только я хочу остаться инкогнито, мне приходится выполнять целый ряд действий. Для начала я нахожу свежие proxy-листы (точнее, сокс-листы) и в обязательном порядке проверяю их на работоспособность. Причем серверы, что находятся в далеком Зимбабве, как правило, не подходят – скорость не та. Поэтому приходится тщательно отбирать среди них наиболее шустрые. Далее неизбежна процедура «соксофикации программ» с построением используемых носков в цепочку. Более того, время от времени и вовсе требуется наладить безопасный SSH-туннель, дабы обеспечить шифрование данных. Я параноик? Нет, просто люблю спать спокойно. Анонимные же VPN-шлюзы разом решают все эти проблемы – для этого нужно лишь залогиниться в частную сеть. Минимум геморроя при максимуме анонимности. Немаловажно и то, что трафик шифруется, а значит логи провайдера станут абсолютно бесполезными.