’n Onbetroubare VPN is drie aparte grense, nie een nie

«Ek vertrou nie hierdie VPN nie» is gewoonlik drie stellings in een sin. Die afstandige eweknieë op daardie netwerk kan dalk dienste op jou gasheer bereik, die operateur wat die tonnel bedryf kan dalk verkeer sien wat daardeur gaan, en die kliëntsagteware wat jy geïnstalleer het kan dalk jou masjien se netwerkbeleid verander. Die oortuiging wat reggestel moet word, is dat ’n firewall-reël, ’n virtuele masjien of ’n sorgvuldige keuse van bedryfstelsel al drie beantwoord. Elke maatreël beantwoord presies een daarvan.

Die mite: een beheer dek die hele risiko

Die algemene aanname is dat om by ’n onbetroubare netwerk aan te sluit ’n enkele besluit met ’n enkele teenmaatreël is. Mense kies die beheer wat hulle reeds vertrou, pas dit toe en beskou die risiko as afgehandel: die firewall is aan, die werkspasie is wegwerpbaar, die kliënt kom van ’n gerespekteerde verskaffer.

Daardie beheersmaatreëls oorvleuel nie soos die aanname impliseer nie. ’n Gasheer-firewall beperk wat ’n afstandige eweknie kan bereik, en dit doen niks aan ’n operateur wat jou TLS termineer nie. ’n Virtuele masjien skei ’n werkspasie van jou gasheerlêers, en dit doen niks aan ’n kliëntkomponent wat toegelaat word om die netwerkstapel onder albei te herkonfigureer nie. Om die grens te benoem wat elke beheer werklik skep, is die hele oefening.

Om hulle te skei, sê jou ook watter risiko jy gekies het om te aanvaar. Die meeste werklike besluite versag een grens en verdra ’n ander, wat goed is solank die veranderingsrekord sê watter een watter is.

Wat die afstandige eweknie werklik kan bereik

Begin met luisterdienste. ’n Tonnelkoppelvlak wat as breedweg vertrou beskou word omdat sy pakkette geënkripteer aankom, is die gewone fout, en dit maak elke plaaslike luisteraar ’n kandidaatteiken vir elkeen anders op daardie netwerk. Enkripsie beskerm die draad tussen twee eindpunte; dit sê niks oor die bedoeling van die eweknie aan die ander kant nie.

ss -tulpn
sudo nft list ruleset
ip -br addr

Bind dienste aan die adres wat hulle nodig het eerder as aan elke koppelvlak, en laat net die bewerkings toe wat die goedgekeurde taak vereis. Hou aanstuur, oorbrugging en toepassing-proksering eksplisiet, want twee netwerkaansluitings skep nie op sigself ’n deurgangspad nie, maar ’n proksireël kan beslis.

’n Goedgekeurde wegwerpbare werkspasie verminder wat die afstandige netwerk kan bereik, maar net wanneer sy deelopsie ooreenstem met die bewering. Gedeelde vouers, knipbordintegrasie, geloofsbrief-agente en bestuurskanale kruis almal die grens wat die werkspasie veronderstel was om te skep. ’n Werkspasie-etiket bewys niks oor watter van dié oop is nie.

NIST se zero-trust-argitektuur stel die beginsel agter dit alles: netwerklokasie alleen verleen nie implisiete vertroue nie. Hulpbron-verifikasie het steeds ’n taak nadat die tonnel toegelaat is, en so ook die vraag wie anders daardie netwerk deel.

Wat die operateur in die pad kan sien

’n VPN skuif jou verkeer na ’n ander plek op die pad; dit voeg nie toepassing-enkripsie by nie. As die verskaffer jou TLS termineer, kan die verskaffer lees wat jou blaaier andersins sou beskerm het, en geen plaaslike firewall-reël verander dit nie.

Hou normale sertifikaatvalidering vir die werklike bestemming en verstaan die oplosser- en metadatapad, want ’n DNS-navraag kan meer openbaar as die vrag wat dit voorafgaan. Metadata alleen, naamlik watter adresse jy gekontak het en wanneer, beantwoord dikwels die vraag wat die operateur gevra het sonder enige behoefte om inhoud te lees. Dit is waarom «die verkeer is geënkripteer» en «die verkeer is privaat» verskillende bewerings is.

As daardie sigbaarheid onaanvaarbaar is vir die taak, is die antwoord ’n ander goedgekeurde argitektuur eerder as meer plaaslike filtering. Plaaslike filtering kan nie ’n waarnemer van ’n pad verwyder waarop hy nog sit nie.

Wat die plaaslike kliënt toegelaat word om te verander

Dit is die grens wat mense mis, en dit is die een wat die ander twee irrelevant maak. Op Linux dek CAP_NET_ADMIN koppelvlakkonfigurasie, firewalladministrasie en roeteveranderinge binne sy netwerkkonteks. Sagteware met daardie vermoë kan die beleid herskryf wat jy pas geskryf het.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

’n Netwerknaamruimte is ’n ware grens vir netwerktoestand en ’n swak een vir alles anders: dit isoleer nie die lêerstelsel of die geloofsbrieëwinkel nie. Behandel dit as een laag eerder as as ’n houer vir die hele probleem.

Verkry die kliënt en sy konfigurasie by ’n onderhoude bron, hersien die gesag wat dit aanvra, en hou bevoorregte komponente onder administrateurbeheer. ’n Virtuele masjien kan deel vorm van ’n gekwalifiseerde evalueringsgrens sonder om toestemming te word om ’n onverklaarde installeerder langs waardevolle geloofsbriewe te laat loop. Die installeerder loop met watter gesag jy dit ook gee, en daardie gesag is die grens.

Skryf neer watter grens jy aanvaar het

Sluit af met ’n sin wat vier dinge noem: die vertroude plaaslike kode, die toegelate afstandige toegang, die beskermde toepassingsdata en die operateurverhouding wat oorbly. Daardie sin is meer werd as ’n algemene bewering dat ’n VM, ’n bedryfstelsel of ’n antivirusproduk ’n vyandige netwerk veilig gemaak het.

Bevestig dan dat die nou bewerking werk en die vereiste weiering steeds hou, ook nadat die tonnel val. ’n Grens wat net bestaan terwyl die tonnel op is, is nie die grens wat jy gedokumenteer het nie.

Geen toets bewys dat elke kwesbaarheid afwesig is nie, en ’n hersiening wat anders beweer, oorbeweer. Die eerlike uitset noem die oorblywende risiko en die persoon wat dit aanvaar het.