VM daxilindəki VPN trafiki hostdan gizlədə bilərmi?

Siz müştərini virtual maşının içində quraşdırırsınız, tunel qalxır və qonağın trafiki şifrələnir. Bu, maşından kənardakı şəbəkəyə qarşı bir şeyə dəyər. Qonağı idarə edən əməliyyat sisteminə qarşı isə qazanc çox azdır, çünki o, qonağın yaddaşını oxuya və ekranını izləyə bilir. Aşağıdakı yoxlamalar tunelin nəyi qoruduğunu hostun nəyi saxladığından ayırır.

Host düz mətni tuneldən əvvəl oxuyur

Masaüstü hipervayzer qonağa prosessor vaxtı verir və onun yazdığı yaddaşı oxuya bilir, o cümlədən brauzerin indicə şifrəsini açdığı səhifəni. Hostdakı monitorinq aləti həmin düz mətni şifri pozmadan oxuyur, eyni səviyyədəki klaviatura qeydiyyatçısı isə hər hansı müştəri onları bükəndən əvvəl düymə vuruşlarını toplayır. Bunların heç biri pozulmuş VPN tələb etmir, ona görə təmiz tunel alətləndirilmiş hostun yanında dayana bilər.

Bu mövqenin ötürmədiyi şey uzaq ucun açarları və ya başqa son nöqtənin ucdan-uca qoruduğu məzmundur. Tunel yenə də keçdiyi şəbəkəyə qarşı davam edir; boşluq lokaldır.

Artefaktlar sessiyadan daha uzun yaşayır

VirtualBox qonağını fasiləyə verin və yaddaşının saxlanmış vəziyyəti ilə bir .sav faylı yanında görünür. VMware dayandırma və snapshot işləri zamanı .vmem və .vmsn faylları qoyur, Hyper-V yoxlama nöqtələri isə host həcmində .avhdx fərq diskləri böyüdür. Bu faylların heç biri qonağın disk şifrələməsi ilə şifrələnmir. Host səhifə faylı həm də hipervayzerin çıxardığı səhifələri ala bilər; Tails öz virtualizasiya təlimatında bu izdən xəbərdarlıq edir. Hipervayzerin snapshotları saxlayıb-saxlamadığını və host svopunun şifrəli həcmdə olub-olmadığını yoxlayın.

Bu fayllar üçün saxlama qaydası qərar verin, defolt vəziyyətə güvənməyin, çünki o, kimsə silənə qədər onları saxlayır. Amnezik sessiya elan edən qonaq bunların heç birini dəyişmir; faylı host yazır, ona görə hostun siyasəti qüvvədədir. Snapshotların harada yaşadığını və kimin aça bildiyini deyə bilmirsinizsə, qonağın dizaynı qiymətləndirilməyib.

Disk şifrələməsi daha dar halı əhatə edir

Qonağın diskini şifrələmək istirahətdəki obrazı, başqa maşına aparılan həcmi və ya qaçan ehtiyat nüsxəni qoruyur. Qonaq işləyərkən bu heç nə etmir, çünki hipervayzer yaddaşı qonaq onun şifrəsini açandan sonra oxuyur. Parolu saxlanmış nüsxələr üçün müdafiə kimi qəbul edin, VM-i icra edən maşına qarşı qalxan kimi deyil.

Açarlar və canlı icra ayrı suallardır. Hostinq və ya paylaşılan mühitdə provayder obraz açarlarını saxlaya bilər, halbuki qonağı heç vaxt yoxlamadığınız aparatda işlədir, ona görə hər iki cavabı qeyd edin.

Nəqliyyat eyni görünüş deyil

Qonağın tunelini daşıyan kimsə xarici son nöqtələri, vaxtlamanı və həcmi görür, hətta faydalı yük bağlı qalsa belə. Belə metadatanın çox vaxt müşahidəçinin həqiqətən soruşduğu suala cavabı olur, ona görə onu səs-küy deyil, ifşaın hissəsi kimi qəbul edin. Adapter rejimi və marşrutlaşdırma host səviyyəli VPN qaydalarının qonaq trafikinə ümumiyyətlə toxunub-toxunmadığını müəyyən edir.

Bunu qonağın içindən yoxlayın, hostdakı brauzerdən deyil. Host brauzeri örtülü ola bilər, halbuki qonaq birbaşa xaricə körpülənib, və ikisi fərqli marşrutlar istifadə edərkən eyni bağlantını paylaşa bilər. Adapter rejimini qeyd edin, sonra fərziyyəyə güvənmək əvəzinə hostun fiziki interfeysində çəkilişə baxın.

Keçidləri kiçildin, sonra qeydi yazın

Qonağı nəzarət etdiyiniz aparatda işlədin, hipervayzeri yamaqlı saxlayın və paylaşılan qovluqları, bufer mübadiləsini və sürüklə-buraxı yalnız işin ehtiyacı olan yerdə aktiv edin. Hər biri host və qonaq arasında kanaldır və göndərilən defolt adətən tapşırığın tələb etdiyindən daha açıqdır. İstifadə etmədiyiniz qonaq əlavələrini söndürün, sonra parametrlərin yenidən başladmadan sonra qaldığını təsdiqləyin, çünki yeniləmə söndürdüyünüzü bərpa edə bilər.

Bu addımlar keçidləri daraldır; qonağı ayrı fiziki etibar sərhədinə çevirmir. Sərtləşdirilmiş VM-i belə hesab etmək risk qiymətləndirmələrində adətən səhv gedən yerdir.

Həssas iş üçün trafikin necə marşrutlaşdırıldığını və iş yükünü hansı lokal sistemlərin işlətdiyini və saxladığını qeyd edin. Hostu kimin idarə etdiyini və sessiyadan hansı faylların qaldığını əlavə edin. Yalnız tuneli sadalayan məxfilik qeydi razılaşmanın yarısını təsvir edir.