شبكة VPN غير موثوقة هي ثلاث حدود منفصلة، لا حد واحد

عبارة «لا أثق بهذه الشبكة الافتراضية» هي عادةً ثلاث عبارات ترتدي جملة واحدة. قد يصل الأقران البعيدون على تلك الشبكة إلى خدمات على مضيفك، وقد يراقب المشغّل الذي يدير النفق حركة المرور التي تمر عبره، وقد تكون برمجيات العميل التي ثبّتها قادرة على تغيير سياسة الشبكة في جهازك. الاعتقاد الجدير بالتصحيح هو أن قاعدة جدار حماية أو جهازاً افتراضياً أو اختياراً حذراً لنظام التشغيل يجيب على الثلاثة. كل إجراء يجيب على واحد منها بالضبط.

الخرافة: ضابط واحد يغطي الخطر كله

الافتراض الشائع هو أن الانضمام إلى شبكة غير موثوقة قرار واحد بمعالجة واحدة. يختار الناس الضابط الذي يثقون به أصلاً، ويطبقونه، ويعتبرون الخطر منتهياً: جدار الحماية مفعّل، ومساحة العمل قابلة للتخلص منها، والعميل جاء من مورّد حسن السمعة.

هذه الضوابط لا تتقاطع كما يفترض الافتراض. جدار حماية على المضيف يقيّد ما يمكن لقرين بعيد الوصول إليه، ولا يفعل شيئاً تجاه مشغّل ينهي TLS الخاص بك. الجهاز الافتراضي يفصل مساحة العمل عن ملفات مضيفك، ولا يفعل شيئاً تجاه مكوّن عميل يُسمح له بإعادة تهيئة حزمة الشبكة تحت كليهما. تسمية الحد الذي ينشئه كل ضابط فعلاً هي التمرين كله.

فصلها يخبرك أيضاً أي خطر اخترت قبوله. معظم القرارات الحقيقية تخفف حداً واحداً وتتحمل آخر، وهذا مقبول ما دام سجل التغيير يحدد أيهما أي.

ما يمكن للقرين البعيد الوصول إليه فعلاً

ابدأ بالخدمات المستمعة. الواجهة النفقية التي تُعامل كموثوقة على نطاق واسع لأن حزمها وصلت مشفرة هي الخطأ المعتاد، وهي تحول كل مستمع محلي إلى هدف محتمل لكل من يجلس على تلك الشبكة. التشفير يحمي السلك بين طرفين؛ وهو لا يقول شيئاً عن نية القرين في الطرف الآخر.

ss -tulpn
sudo nft list ruleset
ip -br addr

اربط الخدمات بالعنوان الذي تحتاجه بدلاً من كل واجهة، واسمح فقط بالعمليات التي تتطلبها المهمة المعتمدة. أبقِ التمرير والتجسير ووكالة التطبيقات صريحة، لأن ارتباطين بالشبكة لا ينشئان مسار عبور بحد ذاتهما، لكن قاعدة وكيل تستطيع ذلك بالتأكيد.

مساحة العمل التي يمكن التخلص منها والمعتمدة تقلل ما يمكن للشبكة البعيدة الوصول إليه، لكن فقط عندما تتطابق مشاركتها مع الادعاء. المجلدات المشتركة وتكامل الحافظة ووكلاء بيانات الاعتماد وقنوات الإدارة كلها تعبر الحد الذي كان المفروض أن تنشئه مساحة العمل. تسمية مساحة العمل لا تثبت شيئاً عن أي منها مفتوح.

بنية الثقة الصفرية لدى NIST تنص على المبدأ وراء كل هذا: موقع الشبكة وحده لا يمنح ثقة ضمنية. مصادقة الموارد ما زالت لها وظيفة بعد قبول النفق، وكذلك سؤال من يشارك تلك الشبكة.

ما يمكن للمشغّل في المسار رؤيته

شبكة VPN تنقل حركة المرور إلى مكان مختلف على المسار؛ وهي لا تضيف تشفير التطبيقات. إذا أنهى المزوّد TLS الخاص بك، يمكن للمزوّد قراءة ما كان المتصفح سيحميه، ولا تغيّر أي قاعدة جدار حماية محلية ذلك.

أبقِ التحقق العادي من الشهادات للوجهة الحقيقية وافهم مسار المحلّل والبيانات الوصفية، لأن استعلام DNS قد يكشف أكثر من الحمولة التي يسبقها. البيانات الوصفية وحدها، أي العناوين التي اتصلت بها ومتى، تجيب غالباً على سؤال المشغّل دون أي حاجة لقراءة المحتوى. لهذا فإن «الحركة مشفرة» و«الحركة خاصة» ادعاءان مختلفان.

إذا كانت تلك الرؤية غير مقبولة للمهمة، فالجواب بنية معتمدة مختلفة بدلاً من مزيد من التصفية المحلية. التصفية المحلية لا تستطيع إزالة مراقب من مسار لا يزال يجلس فيه.

ما يُسمح للعميل المحلي بتغييره

هذا هو الحد الذي يفوته الناس، وهو الذي يجعل الحدين الآخرين بلا معنى. على لينكس، تغطي CAP_NET_ADMIN تهيئة الواجهات وإدارة جدار الحماية وتغييرات المسارات داخل سياقها الشبكي. البرمجيات التي تحمل هذه القدرة يمكنها إعادة كتابة السياسة التي كتبتها للتو.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

فضاء أسماء الشبكة حد حقيقي لحالة الشبكة وحد ضعيف لكل شيء آخر: فهو لا يعزل نظام الملفات ولا مخزن بيانات الاعتماد. تعامل معه كطبقة واحدة بدلاً من أن تعامله كحاوية للمشكلة كلها.

احصل على العميل وتكوينه من مصدر مُصان، وراجع الصلاحية التي يطلبها، وأبقِ المكوّنات المميزة تحت سيطرة المسؤول. يمكن للجهاز الافتراضي أن يشكل جزءاً من حد تقييم مؤهل دون أن يصبح إذناً لتشغيل مثبّت غير مفسّر بجوار بيانات اعتماد قيّمة. المثبّت يعمل بالصلاحية التي تمنحها له، وتلك الصلاحية هي الحد.

اكتب الحد الذي قبلته

اختم بجملة تسمي أربعة أشياء: الكود المحلي الموثوق، والوصول البعيد المسموح، وبيانات التطبيق المحمية، وعلاقة المشغّل الباقية. تلك الجملة تساوي أكثر من ادعاء شامل بأن جهازاً افتراضياً أو نظام تشغيل أو منتج مضاد للفيروسات جعل شبكة معادية آمنة.

ثم أكّد أن العملية الضيقة تعمل وأن الرفض المطلوب ما زال قائماً، بما في ذلك بعد سقوط النفق. الحد الذي يوجد فقط ما دام النفق مرفوعاً ليس الحد الذي وثّقته.

لا يوجد اختبار يثبت غياب كل ثغرة، والمراجعة التي تدّعي ذلك تبالغ. المخرج الصادق يسمي الخطر المتبقي والشخص الذي قبله.