ओपनवीपीएन ने हार्दिक के माध्यम से सफलतापूर्वक समझौता किया

ओपनएसएसएल में हाल ही में खोजी गई हीटब्लड भेद्यता के लिए जुनून कम नहीं होता है। कल, news.ycombinator.com पर एक संदेश दिखाई दिया कि शोधकर्ताओं OpenVPN सर्वर पर कई सफल हमले करने में सक्षम थे और उस निजी कुंजी से समझौता करते थे जो सर्वर क्लाइंट द्वारा भेजे गए ट्रैफ़िक को डिक्रिप्ट करने के लिए उपयोग करता है।

हमने हार्टबल बग का दोहन करके एक OpenVPN सर्वर से कई बार निजी कुंजी सामग्री को सफलतापूर्वक निकाला है। हमें जो सामग्री मिली वह हमारे लिए निजी कुंजी को फिर से बनाने और सर्वर को लगाने के लिए पर्याप्त थी।



जैसा कि आप जानते हैं, ओपनवीपीएन में एक एसएसएल / टीएलएस मोड है जहां प्रमाण पत्र प्रमाणीकरण के लिए उपयोग किया जाता है। ओपनवीपीएन वास्तविक एनक्रिप्टेड टनल डेटा स्ट्रीम के साथ प्रमाणीकरण और कुंजी विनिमय के लिए उपयोग किए जाने वाले एसएसएल / टीएलएस सत्र को मल्टीप्लेक्स करता है। OpenVPN के लिए डिफ़ॉल्ट TLS लाइब्रेरी OpenSSL है।

OpenVPN डेवलपर्स ने पहले उपयोगकर्ताओं को चेतावनी दी है कि उत्पाद OpenSSL लाइब्रेरी का उपयोग करता है और इस हमले के लिए असुरक्षित है। लेकिन कल तक कोई सार्वजनिक जानकारी नहीं थी कि हमले को वास्तव में सफलतापूर्वक लागू किया जा सकता है। शोधकर्ताओं ने प्राप्त निजी कुंजी के माध्यम से एक दूरस्थ सर्वर को नकली करने की क्षमता का प्रदर्शन किया है, साथ ही इसके साथ वास्तविक वीपीएन सर्वर और स्वयं उपयोगकर्ता के बीच गुजरने वाले डेटा को डिक्रिप्ट किया है।



निम्न परीक्षण सर्वर कॉन्फ़िगरेशन का उपयोग हमले को करने के लिए किया गया था: ओएस उबंटू 12.04 (KVM के माध्यम से वर्चुअलाइजेशन) OpenVPN 2.2.1 और OpenSSL 1.0.1-4ubuntu5.11।



हालांकि, यह स्पष्ट किया जाना चाहिए कि इस तरह का हमला टीएलएस के माध्यम से सक्षम प्रमाणीकरण विकल्प के साथ सत्र के खिलाफ काम नहीं करेगा, क्योंकि इस मामले में ट्रैफ़िक को एन्क्रिप्ट करने के लिए एक अलग निजी कुंजी का उपयोग किया जाता है।

असुरक्षित ओपनएसएसएल पुस्तकालयों के साथ एक्सेस सर्वर पर मौजूद अटैक वेक्टर कनेक्ट ग्राहकों पर मौजूद नहीं है, इसलिए जोखिम कम से कम है। केवल वह सर्वर जो आपके क्लाइंट से जुड़ता है, संभवतः इस भेद्यता का फायदा उठा सकता है, और तब भी इसकी संभावना नहीं है क्योंकि हम SSL कनेक्शन के शीर्ष पर परफेक्ट फॉरवर्ड सिक्योरिटी और टीएलएस-सेकंड का उपयोग करते हैं। डेटा चैनल की सुरक्षा स्वयं विशेष रूप से जोखिम में नहीं है, केवल सर्वर पर वेब सेवाएं स्वयं हैं। और फिर भी, चूंकि हम एक विशेषाधिकार अलगाव मॉडल का उपयोग करते हैं, वेब सेवाएँ डेटा कनेक्शन को संभालने वाले OpenVPN डेमॉन की तुलना में पूरी तरह से अलग प्रक्रिया में चलती हैं, और इसलिए आपके OpenVPN कनेक्शन के लिए निजी कुंजी किसी भी जोखिम में होने की संभावना नहीं है। फिर भी, हम मौके नहीं लेना चाहते हैं और जल्द ही 2.0.7 जारी करने जा रहे हैं, जिसमें अद्यतन ग्राहक भी शामिल होंगे।