Názory k článku
Kritická zranitelnost FortiOS SSL VPN

Tak az pote, co jsem (temer) hodinu visel na drate s forticare pri reseni ticketu, proc tu 7.4.3 ve fortigate nevidim, se docist na rootu ze se to musi stahnout rucne... potesi :)
Priste misto oficialnich dokumentu obehnu vsemozne techweby a zjevne se dozvim vic :D

Jsem se to pokusil dohledat ke stažení ale bez úspěchu, povedlo se to někomu ?

je to dostupne po prihlaseni na forticare k uctu, pod nimz jsou dane fortigate registrovane. Vyhradne tam. Forti si drzi firmware "pod zamkem"...

Díky, už jsem se tam doklikal.

Proč někdo používá věc s tak příšernou bezpečnostní reputací jako Forti*? Jen namátkou (ale bylo toho násobně víc):

https://thehackernews.com/2016/01/fortinet-firewall-password-hack.html

https://www.securitynewspaper.com/2019/08/29/fortinet-backdoored-fortios-or-hackers-did-for-monitoring-since-last-5-years/

https://seclists.org/bugtraq/2019/Nov/38

https://www.root.cz/clanky/postrehy-z-bezpecnosti-zneuzivana-zranitelnost-v-produktech-fortinet/nazory/

Předpokládám, že proto, že to má integraci na Microsoft AD.

Huh? A které z větších řešení (Ivanti, Cisco, Palo Alto, F5, Checkpoint) AD integraci nemá?

Nemají to opensource nástroje – to nejsou ta „řešení“, ale jenom dílčí aplikace, ze kterých pak ty firmy poskládají to řešení.

Zrovna řeším specifikaci firewallu/VPN pro řekněme veřejnou instituci.

Fortinet je jedna e zvažovaných možností. Proč? Chtěli bychom VPN s 2F autentizací, ideálně s možností napojit na obecný SAML SSO, nebo alespoň Azure AD. Dále bychom chtěli firewall s identity-based policy, tj. dynamicky přiřazovat IP adresy do politik firewallu podle identity koncového uživatele, co se zjistí z notifikace od RADIUSu na WiFi nebo z AD u spravovaných workstations nebo případně i z captive portalu.

Zatím to vypadá, že s nějakým OSS-based řešením, zvažujeme něco jako OPNsense, jsou obě věci docela problém.

Fortinet je dodela drahý, HW ani ne, ale licence na všechno a subscription na všechno. Ale konkurenční komerčni řešení mnohdy ještě násobně dražší, a v různých ohledech ještě větší shit. Takže kdyby měl někdo tip, jak to řešit jinak, budu fakt rád.

Druhá věc je najít na OSS-based řešení nějakého dodavatele, který na to bude schopen dodat implementaci, support a záruku, vzhledem k tomu že inhouse IT má omezené schopnosti, a že v corporate-like prostředí je vždy určitá poptávka po tom delegovat zodpovědnost "ven".

V praxi: Dělejte to, co Vám zaplatí tak, aby to mělo šanci na zaplacení a obecně se vyplatilo.

Kdybychom měli odvahu se chovat podle toho, jak se chovají výrobci a co jsou nějaké normy:

• Řešil by se nejdřív bezpečnostní model, co jsou hrozby, proti kterým se chceme chránit.
• Potom by se vyhodnotilo, že Fortinet i Azure je děravý jak řešeto, takže to kombinovat je úžasně špatný nápad.
• Zvážily by se pro a proti COTS komerčních řešení a řešení na míru na bázi open source podle bezpečnostního modelu.

Vlastní zkušenosti s SSLVPN a Fortigate jsou následující

- 100% podpora je pouze pro OS Windows. Linux ani MAC nefungují dobře

- FortiClient je nutné licencovat na každou stanici a použít s EMS serverem (ten běží pouze na Windows server a nebo v cloudu)

- FortiClientVPN (odlehčená verze) běží samostatně, ale je bez jakékoli podpory výrobce

- SSLVPN dual stack funguje pouze na OS Windows, pro ostatní OS platí, že si musíte vybrat buď IPv4 nebo IPv6 - oboje funguje samostatně, ale nikoli zároveň

- IPv6 podpora (myšleno spojení VPN přes IPv6) funguje pouze na OS Windows, pro ostatní OS platí, že si musíte vybrat buď IPv4 nebo IPv6 - oboje funguje samostatně, ale nikoli zárověň

- FortiClientVPN na MacOS zapomíná heslo (možná je již vyřešeno v poslední verzi)

- Identity based role funguje dobře a není nutné řešit nastavení IP adres dle rolí, uživateli definujete skupinu a pravidlo s přístupem navážete na skupinu uživatelů. Neumím si představit definovat IP adresy ručně pro IPv6

- IPSEC ESP nelze omezit pomocí local-in policy. Pro IPSECd se local-in policy neuplatňuje. Tj. pokud chcete omezit IPSEC na pouze některé zdrojové IP adresy, pomocí local-in policy toho nedosáhnete - firewall vždy kontroluje SPI ještě před local-in (https://community.fortinet.com/t5/FortiGate/Technical-Tip-ESP-Packets-are-not-blocked-by-local-in-policy/ta-p/192929), to díky Parallel Path Processing (https://docs.fortinet.com/document/fortigate/6.4.0/parallel-path-processing-life-of-a-packet/364543/parallel-path-processing)

- Fortitoken funguje dobře, licence se dá přenést na jiný HW, dobře funguje hlavně ve verzi push (nepřepisujete kódy)

- Slyšel jsem zvěsti (nemám potvrzeno), že od verze 7.4 nelze FW ručně upgradovat (vestavěná kontrola), pokud na box nemáte zaplacenou a aktivní podporu.

- Obecně jsem s produkty Fortinet nakonec spokojný i přes výhrady výše a podporu IPv6 ve SSLVPN, kterou nemáme za 4 roky zcela vyřešenou

- HW Fortinet je dle mého názoru kvalitní

- HA řešení funguje velmi dobře (ale dalo by se na něm ještě zapracovat, např. přenášet stavy BGP sessions atp.)

- Nejsem spokojený s komunikací při zero-day zranitelnostech. Očekával bych, že výrobce bude transparentně a včas komunikovat alespoň s KII nebo CSIRT týmy.

Na základě zkušeností s FortiClientVPN bych ani tu podporu Windows nenazval 100%. Ten klient se rád rozbíjí sám od sebe a nedá se zjistit důvod – prostě to jen přestane fungovat, bez jakékoli hlášky. Ale na Macu je to ještě výrazně horší.

U těch klientů je to o to smutnější, že dnes má každý OS vestavěného VPN klienta, takže si člověk říká, k čemu ten specializovaný Forti klient vlastně je. Moc nevěřím, že by přes ty standardní klienty nešla protáhnout ta pokročilá autentizace.

Zdravím.
Zkuste promyslet velmi dobře fungující kombinaci OPNsense a Zenarmor.
Detaily případně vysvětlím

Díky. Zenarmor, pokud bych použil na celý firewall, nejen VPN, to asi zabije cenou. Pokud to chápu správně, licencuje se na počet zařízení (IP adres?) za firewallem, kde jsem na 500-1000, a pokud bych započítal i plánovanou eduroam wifi, tak 1500+. Asi by to vyšlo i dražší než Fortigate v HA. Pokud chci HA, tak mi cenu radši ani neukážou :-)

Jeden by čekal že už dávno budou jako vatiantu nabízet přepojení přes WireGuard. Nebo i tam jsou nějajé problémy se zranitelností?

Podle všeho to je zranitelnost v konkrétní implementaci sslvpnd, takže když si špatně implementují WireGuard, bude chyba i v něm.

Joo kdyby ty krabice měly už implementovaný Wireguard, dal bych jim možná i šanci :).

Vsak oni by ten standardizovany protokol nejak take zmrsili takovym zpusobem, ze by cloveka chut stejne rychle presla :-)

Teď jsem refreshnul webxicht a alespoň u 7.0 mi to už 7.0.14 nabízí samo.

Skoro by se dalo říct, že bezpečnost není úplně jejich ... forte.

Nakonec, už z názvu SSL VPN by mělo jasně vyplývat, že tohle člověk nechce používat, protože v reálu by to dávno mělo být TLS. Takže marketing je asi 20 let za realitou.

Když by zákazník byl na tom s bezpečností skoro lépe, pokud by produkt konkrétní bezpečnostní firmy nepoužíval, tak by se měl výrobce hodně silně zamyslet, jestli není čas na zásadní změnu přístupu. Současně by mu k tomu měl dopomoct odpovědný regulátor a další odpovědné struktury - zvlášť pokud je dotyčný produkt hojně používaný právě veřejnými institucemi.

Mám pocit, že produkty Fortigate (či rebrandované produkty) by mohly být na pár let vyřazeny z možnosti participace na výběrových řízeních pro státní instituce a podniky, stejně jako podniky, firmy a instituce spadající do kritické infrastruktury. Přezkum rozhodnutí by po uběhnutí lhůty mohl proběhnout až po hloubkové analýze kódu státem vybranými odborníky, kteří by byli ale plně zaplaceni káranou firmou. Až po jejich dobrozdání a soudním sejmutí zákazu by firma mohla dále na výběrových řízeních participovat. Nakonec myslím, že třeba u Toyoty se to zhruba tak řešilo včetně analýzy projektu a dokonce zdrojových kódů, tedy pro upřesnění, nemyslím si, že jim zakazovali účastnit se výběrových řízení, ale ta analýza šla na soudní poměry hodně do hloubky. (https://en.wikipedia.org/wiki/Michael_Barr_(software_engineer) a https://www.edn.com/toyotas-killer-firmware-bad-design-and-its-consequences/)

Je to totálně šílené, ale to jsou neautentikované RCE na firewallu/ VPN taky. To už se člověk nemůže spolehnout opravdu na nic?

9. 2. 2024, 21:35 editováno autorem komentáře

To oznaceni ze pouziva ze setrvacnocnosti, stejne jako u certifikatu. Stejne jako na testovani tu mate nastroj mj. od Qualsysu, co to SSL v nazvu taky ma ;-)

Nehejtil bych jen jednoho vendora, tenhle problem s (ne)bezpecnosti je spolecny pro vice znacek, coz. Aneb za navenek peknymi a designovymi omalovankami, klikatky a grafiky se skryva podvozek, ktery nekdo dal dohromady pred spoustou let a nad kterym se to lepi porad. Takze se mj. na mnoha mistech v tom podvozku najde nejaky derivat openssl 1.x, nekdy i s nulou na miste minor verze. Nejen marketing je zapomenut v casoprostoru ;-)

Ale kolik lidi je se ponorit tak hluboko, aby zkoumalo tyhle low-level detaily...