Tailscale SSH: actualización de la investigación y la remediación

Artículo original ↗ Discusión en Hacker News ↗

La reciente divulgación de Tailscale sobre fallos de escalada de privilegios en su función Tailscale SSH ha generado preocupación por depender de un proveedor de VPN tanto para el acceso a la red como para la autenticación. Los comentaristas señalan que los errores afectan sobre todo a configuraciones que delegan la autorización SSH en Tailscale en lugar de usar OpenSSH estándar, y debaten la ética de una divulgación pública casi inmediata que dio a la empresa muy poco margen de aviso. El incidente refuerza preocupaciones más amplias sobre el conjunto de funciones cada vez mayor de Tailscale y su superficie de ataque, lo que empuja a algunos a preferir configuraciones más simples basadas en WireGuard y a tratar Tailscale solo como una capa dentro de una estrategia de defensa en profundidad.

Estado de la función Tailscale SSH

  • Varios comentaristas aclaran que Tailscale SSH no está habilitado por defecto; debe activarse explícitamente.
  • No está disponible en todas las plataformas.
  • Muchos usuarios informan que nunca lo usan y, en su lugar, ejecutan OpenSSH estándar sobre el tailnet.

Naturaleza y gravedad de las vulnerabilidades

  • Los principales problemas discutidos son escaladas de privilegios en Tailscale SSH: un usuario de Tailscale SSH ya autorizado puede a veces obtener más privilegios de los que debería tener su cuenta local.
  • Un ex empleado/administrador señala que el impacto se limita a:
    • Nodos donde Tailscale SSH (no SSH normal) está habilitado.
    • ACL que permiten cuentas no root, no sudo; la escalada rompe entonces las suposiciones de mínimo privilegio.
  • No se trata de un “RCE para todos” no autenticado en la comprensión pública actual, pero varios mencionan investigaciones en curso sobre posibles ángulos no autenticados.
  • Las implementaciones de Headscale que usan Tailscale SSH también se ven afectadas, ya que el fallo está en tailscaled.

Divulgación y comunicación

  • Algunos critican la redacción vaga (“most”, “in some circumstances”) por ser evasiva y temen que oculte errores peores.
  • Otros ven ese lenguaje como una cautela razonable en medio de la investigación.
  • La breve ventana de aviso previa a la publicación concedida a Tailscale es ampliamente considerada cuestionable.

Complejidad, superficie de ataque y dirección del producto

  • Varios comentaristas sostienen que Tailscale se ha vuelto excesivamente cargado de funciones (SSH, Taildrop, Taildrive, Funnel, etc.), ampliando la superficie de ataque.
  • Existe preocupación de que sigan apareciendo problemas básicos (p. ej., validación de entrada) y de que las auditorías profundas de código parezcan ad hoc.
  • Algunas organizaciones informan que están abandonando Tailscale debido al riesgo percibido.
  • Otros señalan que se puede recompilar tailscaled omitiendo muchas funciones, pero esto no es oficial y resulta incómodo desde el punto de vista del soporte. Se pide una compilación “minimal” de primera clase.

Patrones de uso y alternativas

  • Muchos dicen que desactivan Tailscale SSH y dependen de OpenSSH sobre Tailscale, o simplemente del SSH clásico/OpenVPN/WireGuard con gestión manual de claves.
  • Los usuarios orientados a empresa destacan las ventajas de Tailscale SSH (autenticación centralizada, ACL, MFA, registro de auditoría), pero aceptan que aumenta la complejidad.
  • Entre las alternativas mencionadas están WireGuard sin capas adicionales, Headscale, NetBird, Nebula, IPsec y configuraciones propias de hub en VPS, cada una intercambiando comodidad por control y una superficie de funciones menor.

Postura de seguridad y buenas prácticas

  • Hay un fuerte consenso en que Tailscale debe tratarse como una capa defensiva más, no como el único guardián:
    • Los servicios deben seguir aplicando su propia autenticación (HTTPS, autenticación a nivel de aplicación).
    • La exposición al tailnet debe tratarse igual que la exposición a Internet.
  • Se debate si las configuraciones de mínimo privilegio hacen que este fallo sea más grave (porque la escalada rompe restricciones deliberadas) o menos relevante en escenarios donde Tailscale SSH ya concede root/sudo.
  • Temas más amplios: defensa en profundidad, minimizar la superficie de ataque y escepticismo hacia “montar tu propio servidor SSH” frente a seguir con OpenSSH.