Etibarsız VPN bir deyil, üç ayrı sərhəddir

«Bu VPN-ə etibar etmirəm» adətən bir cümlə geyinmiş üç ifadədir. Həmin şəbəkədəki uzaq həmyaşıdlar hostunuzdakı xidmətlərə çata bilər, tuneli idarə edən operator ondan keçən trafiki görə bilər, və quraşdırdığınız klient proqramı maşınınızın şəbəkə siyasətini dəyişə bilər. Düzəldilməyə dəyər inanc, bir firewall qaydasının, virtual maşının və ya diqqətli əməliyyat sistemi seçiminin hər üçünə cavab verdiyidir. Hər tədbir onlardan dəqiq birinə cavab verir.

Mif: bir nəzarət bütün riski əhatə edir

Ümumi fərziyyə, etibarsız şəbəkəyə qoşulmağın tək bir azaltma ilə tək bir qərar olduğudur. İnsanlar artıq etibar etdikləri nəzarəti seçir, tətbiq edir və riski bağlanmış sayır: firewall açıqdır, iş sahəsi birdəfəlikdir, klient nüfuzlu satıcıdan gəlib.

Bu nəzarətlər fərziyyənin ima etdiyi şəkildə üst-üstə düşmür. Host firewall uzaq həmyaşıdın nəyə çata biləcəyini məhdudlaşdırır və TLS-inizi sonlandıran operatora qarşı heç nə etmir. Virtual maşın iş sahəsini host fayllarınızdan ayırır və hər ikisinin altındakı şəbəkə yığınını yenidən konfiqurasiya etməyə icazə verilən klient komponentinə qarşı heç nə etmir. Hər nəzarətin həqiqətən yaratdığı sərhədi adlandırmaq bütün məşqdir.

Onları ayırmaq həm də hansı riski qəbul etdiyinizi deyir. Əsl qərarların çoxu bir sərhədi azaldır və digərini dözür; bu, dəyişiklik qeydi hansının hansı olduğunu yazdığı müddətcə yaxşıdır.

Uzaq həmyaşıd həqiqətən nəyə çata bilər

Dinlənən xidmətlərlə başlayın. Paketləri şifrəli gəldiyi üçün geniş etibarlı sayılan tunel interfeysi adi səhvdir və hər yerli dinləyicini həmin şəbəkədə oturan hər kəs üçün namizəd hədəfə çevirir. Şifrələmə iki son nöqtə arasındakı naqili qoruyur; o, digər tərəfdəki həmyaşıdın niyyəti barədə heç nə demir.

ss -tulpn
sudo nft list ruleset
ip -br addr

Xidmətləri hər interfeysə deyil, onlara lazım olan ünvana bağlayın və yalnız təsdiqlənmiş tapşırığın tələb etdiyi əməliyyatlara icazə verin. Yönləndirmə, körpüləmə və tətbiq proksiləşdirməsini açıq saxlayın, çünki iki şəbəkə qoşulması özlüyündə tranzit yol yaratmır, amma bir proksi qaydası mütləq yarada bilər.

Təsdiqlənmiş birdəfəlik iş sahəsi uzaq şəbəkənin çata biləcəyini azaldır, ancaq onun paylaşma konfiqurasiyası iddiaya uyğun olduqda. Paylaşılan qovluqlar, bufer mübadiləsi inteqrasiyası, etimad agentləri və idarəetmə kanalları hamısı iş sahəsinin yaratmalı olduğu sərhədi keçir. İş sahəsinin etiketi bunlardan hansının açıq olduğunu sübut etmir.

NIST-in sıfır etibar arxitekturası bütün bunların arxasındakı prinsipi bildirir: tək şəbəkə mövqeyi gizli etibar vermir. Tunel qəbul edildikdən sonra resurs autentifikasiyasının da işi var, həmçinin həmin şəbəkəni kimin də paylaşdığı sualının.

Yoldakı operator nə görə bilər

VPN trafikinizi yolun başqa yerinə köçürür; tətbiq şifrələməsi əlavə etmir. Provayder TLS-inizi sonlandırırsa, brauzerinizin əks halda qoruyacağını provayder oxuya bilər və heç bir yerli firewall qaydası bunu dəyişmir.

Real təyinat üçün normal sertifikat yoxlamasını saxlayın və həlledici ilə metadata yolunu anlayın, çünki bir DNS sorğusu qarşısındakı yükdən çoxunu aşkara çıxara bilər. Təkcə metadata, yəni hansı ünvanlarla və nə vaxt əlaqə saxladığınız, çox vaxt operatorun sualına məzmunu oxumağa ehtiyac olmadan cavab verir. Buna görə «trafik şifrəlidir» və «trafik gizlidir» fərqli iddialardır.

Əgər bu görünürlük tapşırıq üçün qəbuledilməzdirsə, cavab daha çox yerli filtrləmə deyil, başqa təsdiqlənmiş arxitekturadır. Yerli filtrləmə hələ də oturduğu yoldan müşahidəçini çıxara bilməz.

Yerli klient nəyi dəyişməyə icazəlidir

Bu, insanların qaçırdığı sərhəddir və digər ikisini mənasız edən də elə budur. Linux-da CAP_NET_ADMIN öz şəbəkə kontekstində interfeys konfiqurasiyasını, firewall idarəetməsini və marşrut dəyişikliklərini əhatə edir. Bu imkanı daşıyan proqram indicə yazdığınız siyasəti yenidən yaza bilər.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Şəbəkə ad sahəsi şəbəkə vəziyyəti üçün real sərhəd, qalan hər şey üçün zəif sərhəddir: fayl sistemini və ya etimad anbarını təcrid etmir. Ona bütün problemin konteyneri kimi deyil, bir təbəqə kimi baxın.

Klienti və onun konfiqurasiyasını saxlanılan mənbədən əldə edin, tələb etdiyi səlahiyyəti nəzərdən keçirin və imtiyazlı komponentləri administrator nəzarətində saxlayın. Virtual maşın dəyərli etimadların yanında izahsız quraşdırıcı işlətmək icazəsinə çevrilmədən ixtisaslı qiymətləndirmə sərhədinin hissəsi ola bilər. Quraşdırıcı ona verdiyiniz səlahiyyətlə işləyir və o səlahiyyət sərhəddir.

Hansı sərhədi qəbul etdiyinizi yazın

Dörd şeyi adlandıran bir cümlə ilə bitirin: etibarlı yerli kod, icazə verilən uzaq giriş, qorunan tətbiq məlumatları və qalan operator münasibəti. Bu cümlə VM-in, əməliyyat sisteminin və ya antivirus məhsulunun düşmən şəbəkəsini təhlükəsiz etdiyinə dair ümumi iddiadan daha dəyərlidir.

Sonra dar əməliyyatın işlədiyini və tələb olunan imtinanın hələ də qüvvədə olduğunu təsdiqləyin, tunel düşdükdən sonra da. Yalnız tunel açıqkən mövcud olan sərhəd sənin sənədə aldığın sərhəd deyil.

Heç bir test hər zəifliyin olmadığını sübut etmir və əksini iddia edən rəy həddini aşır. Dürüst nəticə qalıq riski və onu qəbul edən şəxsi adlandırır.