NetScaler sunucuları TLS SNI yapılandırmasıyla toplu taramalardan gizleniyor
Öne çıkanlar
- Varsayılan NetScaler kurulumları SNI bilgisi içermeyen doğrudan IP bağlantılarına sertifika sunuyor.
- Sertifikaların yalnızca SNI koşuluyla bağlanması sunucunun IP üzerinden doğrudan taranmasını engelledi.
- ClientHello kuralı ile hatalı veya eksik alan adı taşıyan isteklere doğrudan TCP sıfırlama uygulandı.
- Doğrudan IP adresiyle çalışan sistem izleme araçları ve sağlık kontrolleri bu değişiklikten sonra bağlantı kuramıyor.
Siber güvenlik araştırmacıları, Citrix NetScaler sunucularının TLS SNI (Sunucu Adı Belirtme) zorunluluğu getirilerek IP tabanlı kitlesel istismar taramalarından gizlenebileceğini duyurdu. Varsayılan ayarlarda bir NetScaler sunucusu, istemcinin bağlantı isteğinde SNI bilgisi olmasa veya hatalı alan adı gönderilse bile sertifikayı istemciye iletiyor. Bu durum, interneti tarayan saldırganların sunucunun gerçek alan adını öğrenmesine ve hedefe yönelik açıklardan faydalanmasına zemin hazırlıyor.
Geliştirilen koruma yönteminde sistem yöneticilerinin öncelikle SSL profilleri modunu etkinleştirmesi ve sunucu sertifikalarını yalnızca SNI koşuluyla bağlaması gerekiyor. Varsayılan sertifikası kaldırılan ve katı ana bilgisayar başlığı eşleşmesi açılan sistemler, alan adı içermeyen doğrudan IP bağlantılarına TLS hatasıyla yanıt veriyor. Ek bir adımla ClientHello aşamasında tanımlanan SSL politikaları sayesinde, eşleşmeyen istekler TLS el sıkışması tamamlanmadan doğrudan TCP sıfırlama (RST) paketiyle sonlandırılıyor.
Uzmanlar, bu yapılandırmanın güvenlik yamalarının yerini almadığını ve alan adını bilen hedefli saldırganları durdurmayacağını vurguladı. Yöntemin yalnızca ilk dalga otomatik tarayıcılardan gizlenme sağladığı, IP adresini doğrudan kullanan izleme araçlarının ise bozulabileceği ifade edildi. Yapılan testlerin NetScaler CPX sürümlerinde başarıyla doğrulandığı, ayrıca doğrulama işlemleri için açık kaynaklı SNItch aracının yayımlandığı bildirildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.