Onbekende OVPN-lêers: plaaslike risiko en vertroue op afstand

Behandel 'n OVPN-lêer as invoer vir 'n program, nie as 'n sertifikaat dat die inhoud daarvan onskadelik is nie. Om die bedieneradres na te gaan beantwoord net waar die profiel wil verbind, en niks anders nie. Twee afsonderlike vertrouebesluite sit in daardie lêer: wat die kliënt op jou masjien mag doen, en watter operateur die verkeer ontvang. 'n Bekende protokolnaam beslis nie een van hulle nie.

Twee besluite skuil in een lêer

Die eerste besluit is plaaslik. Die profiel is 'n konfigurasietaal, en die kliënt wat dit lees kan voorskrifte ondersteun wat 'n inprop laai, 'n script laat loop of verander hoe roetering en DNS toegepas word. Die tweede besluit is op afstand. Wat die lêer ook al bevat, die uitgang-operateur sien die verkeer wat hom bereik.

Om die twee te verwar lewer slegte raad in beide rigtings: 'n skoonlykende profiel van 'n onbekende operateur, of 'n bekende operateur se profiel met 'n haak wat niemand gelees het nie. 'n Profiel wat plaaslik veilig is, kan jou verkeer steeds aan iemand gee wat jy nie sou kies nie.

Lees die profiel voordat enige kliënt dit doen

Lees die lêer as teks voordat enige kliënt dit verwerk. Soek na voorskrifte wat buite die lêer wys, na programme verwys of voorregte verander, en vergelyk daardie lys met die kliënt se gedokumenteerde ondersteuning. 'n Kort soektog is nie 'n sekuriteitsoudit nie, maar dit sê jou of die profiel 'n bedienerlys is of iets meer.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

'n Leë resultaat is gerusstellend en nie afdoende nie, want opsies kan mekaar beïnvloed of deur 'n ingeslote lêer verskaf word. Behandel die gefiltreerde lys as 'n rede om verder te lees, nie as 'n uitspraak nie.

Die instruksies wat saam met die profiel kom, verdien dieselfde ondersoek as die profiel. Vier versoeke behoort jou te laat stop: aktiveer scripte, installeer 'n helper of biblioteek, laat die kliënt as administrateur loop, of verswak 'n invoerbeperking. Elkeen skuif die vertrouegrens na buite, en nie een daarvan is 'n gewone deel van die invoer van 'n bedienerlys nie.

Lees ook die hele lêer een keer deur, want 'n enkele onbekende reël is makliker in konteks te beoordeel as in 'n gefiltreerde lys. As 'n reël onbekend is, soek dit in die handleiding vir jou kliënt op eerder as om te raai.

Wat die kliënt werklik sal uitvoer

OpenVPN-gemeenskap se 2.6-handleiding dokumenteer die script-security-leer: vlak 1 is die verstek en blokkeer gebruikergedefinieerde scripte, terwyl vlak 2 hulle toelaat. Inprop-laai is 'n aparte fasiliteit met sy eie voorskrif. Dis hoekom dieselfde lêer in verskillende kliënte verskillende dinge kan beteken. Mobiele en verskaffer-kliënte mag 'n smaller stel voorskrifte aanvaar, of glad geen van die hake nie.

Die bekendstellingsmetode maak net soveel saak as die kliënt. 'n Profiel wat deur 'n bevoorregte helper begin word, kan meer doen as een wat in gebruikersruimte begin word, en daardie verskil is 'n rede om die invoerprompt te lees eerder as om dit af te maak.

Weergawe maak ook saak, want hierdie vlakke word per uitgawe gedefinieer en 'n kliënt etlike weergawes agter mag nie dieselfde beleid implementeer nie. Lees die handleiding wat by die bou pas wat jy gebruik, eerder as die nuutste een wat jy kan kry. As die kliënt nêrens 'n weergawestring wys nie, is dit reeds 'n rede om stadiger te werk.

Vergelyk die operateur, nie net die adres nie

Vergelyk operateurs soos jy enige ander tussenganger vergelyk. Vra wie die uitgang bedryf, wat hulle aanteken, en hoe die profiel by jou uitgekom het. 'n Geverifieerde aflaaibladsy en 'n ooreenstemmende vingerafdruk sê meer as 'n bekende gasheernaam. 'n Bereikbare bediener bewys net dat iets geantwoord het.

Geloofsbriewe is die deel wat mense onder druk verkeerd kry. Moenie 'n onverwante rekeningwagwoord in 'n afgelaaide profiel intik omdat die bedienernaam bekend lyk nie. 'n Profiel kan ook 'n private sleutel in die oopte dra, so om die hele lêer in 'n resensiedraad te plaas, gee daardie sleutel aan die draad.

'n Behoorlik gevalideerde HTTPS-sessie versteek steeds bladsyinhoud vir enigiemand wat net pakkette aanstuur, so die uitgang sien nie outomaties elke wagwoord nie. Dit sien wel watter werwe jy bereik, en daardie grens is werd om akkuraat te stel eerder as om te oordryf.

Waar die lêer se oorsprong onduidelik bly, of 'n voorreg wat dit vra geen verklaring het wat jy kan aanvaar nie, vervang die profiel met een van 'n bron wat verantwoordelik gehou kan word. Op 'n bestuurde werkverbinding behoort die administrateur die kliënt en die konfigurasie as een besluit goed te keur, nie as twee nie. Niks hier vereis dat jy eers kwaadwilligheid bewys nie; om toegang te weier is 'n geldige antwoord.