Naməlum OVPN faylları: yerli risk və uzaqdan etibar

OVPN faylını proqramın girişi kimi qəbul edin, məzmununun zərərsiz olması barədə şəhadətnamə kimi deyil. Server ünvanını yoxlamaq yalnız profilin hara qoşulmaq istədiyini göstərir, başqa heç nəyi deyil. Həmin faylın içində iki ayrı etibar qərarı var: klient maşınınızda nə edə bilər və hansı operator trafiki alır. Tanış protokol adı bunlardan heç birini həll etmir.

Bir faylda iki qərar gizlənir

Birinci qərar yerlidir. Profil konfiqurasiya dilidir və onu oxuyan klient plagini yükləyən, skript işə salan və ya marşrutlaşdırma ilə DNS-in necə tətbiq olunduğunu dəyişən direktivləri dəstəkləyə bilər. İkinci qərar uzaqdır. Fayl nə saxlayırsa da, çıxış operatoru ona çatan trafiki görür.

İkisini qarışdırmaq hər iki istiqamətdə pis məsləhət yaradır: naməlum operatordan təmiz görünən profil, ya da heç kimin oxumadığı qarmağı olan tanınmış operator profili. Yerli olaraq təhlükəsiz profil yenə də trafikinizi seçmədiyiniz adama verə bilər.

Profili hər hansı klientdən əvvəl oxuyun

Faylı hər hansı klient emal etməzdən əvvəl mətn kimi oxuyun. Fayldan kənara işarə edən, icra olunan fayllara istinad edən və ya imtiyazları dəyişən direktivləri axtarın və bu siyahını klientin sənədləşdirilmiş dəstəyi ilə müqayisə edin. Qısa axtarış təhlükəsizlik auditi deyil, amma profilin server siyahısı, yoxsa daha çox şey olduğunu sizə deyir.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Boş nəticə arxayınlıq yaradır, amma qəti deyil, çünki seçimlər bir-birinə təsir edə və ya daxil edilmiş fayl tərəfindən verilə bilər. Filtrlənmiş siyahıya qərar kimi deyil, oxumağa davam etmək üçün səbəb kimi baxın.

Profillə birlikdə gələn təlimatlar da profil qədər diqqət tələb edir. Dörd istək sizi dayandırmalıdır: skriptləri aktivləşdirin, köməkçi və ya kitabxana quraşdırın, klienti administrator kimi işə salın və ya idxal məhdudiyyətini zəiflədin. Onların hər biri etibar sərhədini bayıra çıxarır və heç biri server siyahısının idxalının adi hissəsi deyil.

Bütün faylı bir dəfə də oxuyun, çünki tək bir tanış olmayan sətir kontekstdə filtrlənmiş siyahıdan daha asan qiymətləndirilir. Sətir tanış deyilsə, təxmin etmək əvəzinə klientinizin təlimatında ona baxın.

Klient əslində nə icra edəcək

Community OpenVPN-in 2.6 təlimatı script-security pillələrini sənədləşdirir: 1-ci səviyyə standartdır və istifadəçi təyin etdiyi skriptləri bloklayır, 2-ci səviyyə isə onlara icazə verir. Plagin yükləmə öz direktivi olan ayrı bir mexanizmdir. Buna görə eyni fayl müxtəlif klientlərdə fərqli şeylər ifadə edə bilər. Mobil və istehsalçı klientləri daha dar direktiv dəsti qəbul edə bilər, ya da qarmaqların heç birini.

İşə salma üsulu klient qədər vacibdir. İmtiyazlı köməkçi tərəfindən başladılan profil istifadəçi məkanında başladılandan daha çox şey edə bilər və bu fərq idxal sorğusunu qeyri-ciddi saymaq əvəzinə oxumaq üçün səbəbdir.

Versiya da vacibdir, çünki bu səviyyələr hər buraxılış üçün müəyyən edilir və bir neçə versiya geridə qalan klient eyni siyasəti tətbiq etməyə bilər. Tapa bildiyiniz ən yenisini deyil, işlətdiyiniz qurğuya uyğun təlimatı oxuyun. Klient heç yerdə versiya sətri göstərmirsə, bu artıq yavaşlamaq üçün səbəbdir.

Operatoru müqayisə edin, yalnız ünvanı deyil

Operatorları hər hansı digər vasitəçi ilə müqayisə etdiyiniz kimi müqayisə edin. Çıxışı kimin idarə etdiyini, nə qeyd etdiklərini və profilin sizə necə gəldiyini soruşun. Təsdiqlənmiş yükləmə səhifəsi və uyğun barmaq izi tanış host adından daha çox şey deyir. Əlçatan server yalnız nəyinsə cavab verdiyini sübut edir.

Etimad məlumatları insanların təzyiq altında səhv saldığı hissədir. Server adı tanış görünür deyə yüklənmiş profilə əlaqəsiz hesab parolunu yazmayın. Profil açıq şəkildə şəxsi açar da daşıya bilər, ona görə bütün faylı rəy mövzusunda yerləşdirmək həmin açarı mövzuya verir.

Düzgün yoxlanılmış HTTPS sessiyası səhifə məzmununu yalnız paket ötürən hər kəsdən gizlədir, ona görə çıxış avtomatik olaraq hər parolu görmür. Hansı saytlara çatdığınızı isə görür və bu sərhədi şişirtmək əvəzinə dəqiq demək lazımdır.

Faylın mənşəyi qeyri-müəyyən qalırsa və ya tələb etdiyi imtiyazın qəbul edə biləcəyiniz izahı yoxdursa, profili hesabat verə bilən mənbədən gələn biri ilə əvəz edin. İdarə olunan iş bağlantısında administrator klienti və konfiqurasiyanı iki yox, bir qərar kimi təsdiqləməlidir. Burada heç nə əvvəlcə pis niyyət sübut etməyinizi tələb etmir; girişi rədd etmək qanuni cavabdır.