Wat ’n oorgedraagde VPN-profiel op jou toestel kan verander

As jy jou kliënt ’n VPN-profiel gee, gee jy dit konfigurasie wat deur iemand anders geskryf is, en daardie program voer dit dan op jou masjien uit. Deur dit in te voer kan verander waar gedekte verkeer heen gaan, watter eweknie jou toestel vertrou, en in sommige formate watter plaaslike programme begin loop wanneer die tonnel opkom. Die lêer is nie ’n boekmerk nie; dit is ’n klein program in ’n verklarende formaat.

Lees dit soos jy ’n dop-skrip van dieselfde bron sou lees.

Die kliënt vertolk dit, nie jy nie

Elke veld in die lêer is ’n opdrag aan ’n spesifieke kliënt. Die eindpunt en protokol bepaal waar die tonnel heen gaan, die verifikasieblok bepaal watter geheim vereis word, en die roete-aanwysings bepaal wat daarin ingaan. Sertifikate of ’n private sleutel kan as blokke ingebed wees eerder as om as lêers verwys te word, en daarom dra ’n enkele tekslêer soms alles wat nodig is om jou by ’n poort na te boots. Dit is juis dié eienskap wat gewone lêerdeling so gevaarlik maak.

OpenVPN-profiele kan ook skriphekke, inprop-paaie en ’n sekuriteitsvlak dra wat bepaal of daardie hekke mag loop. Daardie kombinasie is wat ’n onbekende profiel werd maak om reël vir reël te lees in plaas van dit te dubbelklik. Die kliënt sal presies doen wat die lêer sê, en dit sal dit met jou voorregte doen.

Roeteveranderinge is ná een verbinding sigbaar

’n Voltonnel-profiel installeer roetes wat alles deur die poort stuur, terwyl ’n split-tonnel-profiel net geselekteerde voorvoegsels stuur. Sommige profiele stoot ook ’n DNS-bediener, wat stilletjies verander wie jou navrae sien. Niks daarvan is opsigself kwaadwillig nie, en niks daarvan is uit die lêernaam duidelik nie.

Vergelyk die roetelys voor en ná die eerste verbinding en jy sal die bedoeling met een oogopslag sien. ’n Profiel wat as toegang tot een interne toepassing geadverteer word maar ’n wyer verstekroete installeer, sê iets oor sy skrywer.

Vertrouensmateriaal en hekke dra die werklike gewig

’n Profiel kan vertrouensinligting aan die VPN-kliënt verskaf, en ’n platformkonfigurasiepakket kan verder gaan en ’n sertifikaat of ’n wortel in ’n stelselbewaarplek installeer. Dit is verskillende strekwydtes met verskillende gevolge. Die geval op kliëntvlak raak een toepassing se validering; die geval op stelselvlak raak alles wat die platform se vertrouensbewaarplek gebruik.

Skriphekke en inproppe is die ander helfte. ’n Aanwysing wat ’n opdrag op verbinding laat loop, of ’n inprop wat in die kliëntproses gelaai word, het jou toestemmings en niks van die kliënt se sandput-afsondering nie. As ’n profiel wat jy nie aangevra het nie een bevat, is dit ’n vraag vir die persoon wat dit gestuur het.

Nie een van die twee kategorieë is outomaties vyandig nie. Korporatiewe ontplooiings gebruik albei. Die punt is dat elkeen ’n verduideliking vereis wat jy kan nagaan.

Verifieer herkoms, tik dan die geheim in

Stel vas wie die lêer uitgereik het deur ’n kanaal wat jy reeds vertrou, nie deur die boodskap wat dit afgelewer het nie. Vergelyk die eindpunt- en sertifikaatbesonderhede met die operateur se gepubliseerde dokumentasie. As ’n profiel ongevraagd opgedaag het, kry ’n nuwe een direk by die operateur eerder as om die kopie wat aan jou gegee is te herstel. Vra watter kliëntweergawe die operateur ondersteun, want dieselfde lêer kan deur ’n ander kliënt anders vertolk word.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Moenie ooit ’n wagwoord in ’n onverklaarde veld plaas om te sien of dit werk nie, en aanvaar nooit ’n onbekende voorregversoek net om ’n invoer te voltooi nie. ’n Suksesvolle verbinding bewys dat die eindpunt geantwoord het, niks meer nie.

Verwyder die ingevoerde kopie, nie die aflaai nie

Kliënte kopieer ’n profiel in hul eie bewaarplek, so om die afgelaaide lêer te skrap laat die ingevoerde verbinding aktief. Verwyder dit deur die kliënt se eie koppelvlak, en kyk of enige sertifikaat wat tydens die invoer bygevoeg is ook weg is. Bevestig dan dat die roetes wat dit geïnstalleer het ook weg is.

As ’n sertifikaat op stelselvlak geïnstalleer is, is dit nie genoeg om die profiel te verwyder nie. Daardie opruiming hoort by die platform se vertrouensbestuur, en dit is die moeite werd om dit doelbewus te doen eerder as om te hoop die volgende herbegin hanteer dit.