¿Qué tan probable es que un cliente (MySQL) pierda las credenciales cuando el túnel VPN no se configuró anteriormente?

Para responder a esta pregunta, primero debe comprender el saludo de mysql-na a través de la autenticación.

Si está utilizando el nombre de usuario predeterminado & autenticación de contraseña donde la contraseña se almacena como sha1(sha1(password) hash en mysql.users, la autenticación funciona de la siguiente manera (hay más pasos, pero para mantener esto breve es más o menos lo siguiente):

1. El cliente se conecta al servidor
2. El servidor envía el saludo, la versión y las capacidades compatibles del servidor, así como una SALT que se utilizará para la sesión
3. El cliente solicita la autenticación para comenzar, luego envía SHA1(password) XOR(SALT + sha1(sha1(passsword)))

Por lo tanto, las credenciales iniciales no se envían de forma clara con este método, sin embargo, si se usa el complemento mysql_pam, ya que se pasan a PAM para completar la autenticación.

Sin embargo, si utiliza mysql-na, debe tener en cuenta que, si un adversario puede detectar un protocolo de enlace de autenticación de cliente-servidor, puede utilizar la vulnerabilidad de mysql-unsha ( enlace ) para obtener acceso sin saber la contraseña real.

Con esto aclarado, le haremos preguntas específicas

• ¿Enviará algún software cliente de MySQL credenciales de texto simple a la ruta predeterminada?

Esto depende completamente de su configuración de mysql si está utilizando PAM para autenticarse, entonces es probable que vea las credenciales "en el cable", que al 100% vale la pena ejecutar una captura de paquetes en el servidor e inspeccionar el resultado. pcap con wireshark / tshark.

• ¿Si existe la red en mi tabla de enrutamiento?

Según lo anterior, depende de su configuración de MySQL de forma predeterminada, no debería ver las credenciales en texto claro, pero esto no impide que los atacantes obtengan acceso a través de mysql-unsha.

• ¿Si la IP que intento alcanzar existe localmente?

Aclare, ¿está hablando de la LAN de su máquina cliente VPN? esto depende de sus rutas y de si la VPN permite un túnel dividido.

• ¿Si la IP que intento alcanzar existe localmente y ejecuta un servidor MySQL?

Una vez más, esto debe aclararse, es demasiado vago.

• En caso afirmativo, ¿cómo puedo mitigar este escenario (sugerencia: con unos pocos recursos, trabajo para una empresa muy pequeña)?

Sus preguntas deben aclararse, en primer lugar, para que pueda comunicárselas a terceros de manera clara y coherente. Aquí encontrará lo que necesita.

Bajo la configuración predeterminada, MySQL usará Mysql-NA para la autenticación, que es el nombre de usuario y la contraseña, esto no está claro, ya que solo los hashes son intercambios SIN EMBARGO esto es vulnerable al ataque mysql-unsha como se describe por encima de lo cual podría permitir a un atacante autenticarse como un usuario que ha observado autenticar sin conocer la contraseña original solo el sha1(password) hash.

MySQL está utilizando un protocolo en la parte superior de TCP para las conexiones entre sistemas remotos. Esto significa que una conexión TCP debe crearse correctamente antes de transferir cualquier dato, lo que incluye el envío de información de autenticación.

Esto significa que bajo el supuesto de que la base de datos solo es accesible por VPN y que nadie puede hacerse pasar por la base de datos, no se filtrarán las credenciales de esta manera.

Pero si no se sabe si esta suposición es cierta en su red. Si no es cierto, entonces las credenciales pueden ser filtradas. El riesgo de esto no se puede calcular sin saber más acerca de la configuración de su red y las medidas de seguridad, y también lo atractivo que es un objetivo, es decir, cuánto invertirá un atacante. Sin embargo, puede reducir el riesgo, por ejemplo, al conectarse a la base de datos con TLS además de usar una VPN.

Es muy poco probable, pero en algunos casos muy difíciles, alguien puede obtener sus credenciales. Posible, pero improbable.

1. El atacante asume el control de su puerta de enlace

   Al controlar la puerta de enlace, puede interceptar cualquier intento de conexión y modificarlos.

2. Tu túnel falla y tratas de conectarte

   El atacante ahora puede saber que tiene un servidor MySQL en algún lugar, y puede agregar una entrada de enrutamiento en la puerta de enlace que apunta a un servidor que controla, usando la misma IP.

3. El atacante rastrea tu contraseña

   SI intenta conectarse nuevamente, Y la VPN está apagada, Y el atacante olfateó el último intento, Y el atacante tiene una entrada de enrutamiento en la puerta de enlace a un servidor que controla, Y está ejecutando un sniffer, luego puede obtener sus credenciales.

Muy poco probable, tomará mucha preparación, depende de la suerte (o falta de), requiere control de pasarela, pero es posible.