Выкарыстанне публічнага камп’ютара з VPN: што праверыць спачатку
Тунэль абараняе шлях, а не машыну на любым з канцоў. Вырашыце, хто кантралюе хост, што застаецца на дыску і як адклікаць доступ да ўваходу ў сістэму.
Пазычаная машына, тэрміновая задача і VPN-кліент, які абяцае шыфраваць усё: паслядоўнасць выглядае бяспечнай і такой не з’яўляецца. Тунэль абараняе шлях паміж двума канцавымі пунктамі, а пункт перад вамі — гэта частка, якую вы не можаце праверыць. Тры крокі ніжэй вызначаюць, ці прыдатная прылада ўвогуле, як трымаць уліковыя даныя збоку ад яе і што рабіць потым, каб часовая сесія не стала пастаяннай копіяй.
Тунэль пачынаецца пасля таго, як хост ужо ўбачыў даныя
Шыфраванне адбываецца ў VPN-кліенце, які працуе як праграма на машыне. Усё вышэй за гэтую праграму, уключаючы браўзер, аперацыйную сістэму і любое пашырэнне або драйвер з дастатковым доступам, апрацоўвае вашыя даныя да таго, як яны будуць зашыфраваны. Гэта не хіба пратаколу; гэта месца, дзе пратакол знаходзіцца.
Такім чынам, праверка адрасу выхаду амаль нічога не даказвае пра хост. Машына можа накіроўваць увесь трафік праз чысты выхад і ўсё роўна запісваць кожнае націсканне клавішы, і гэтыя два факты не супярэчаць адзін аднаму.
Карысная пастаноўка — пытаць, што хост можа назіраць, а не што можа сетка. На машыне, якой кіруе хтосьці іншы, гэты набор большы, чым вы можаце пералічыць.
Крок першы: вызначыць, хто кантралюе прыладу
Кантроль — гэта пытанне адміністрацыйных правоў і фізічнага доступу, а не ветлівасці. Калі іншы чалавек можа ўсталяваць праграму, загрузіць драйвер, падключыць прыладу або аднавіць вобраз, паводзіны машыны не тое, што вы можаце вызначыць, паглядзеўшы на яе. Адміністраванне — гэта магчымасць, а магчымасці не паказваюцца на здымку экрана. Спытайце чалавека, які перадаў вам машыну.
Шукайце звычайныя прыкметы і стаўцеся да кожнай як да сведчання пра кантроль, а не як да доказу бяспекі. Ні адна з іх не з’яўляецца вырашальнай сама па сабе.
- Гасцявы або кіёскавы ўліковы запіс, які не можа ўсталёўваць праграмы, — лепшы пачатак, чым адміністратарскі запіс, які хтосьці вам перадаў.
- Кіраваная прылада з вядомым уладальнікам і кантактам падтрымкі лепшая за пакінуты тэрмінал, нават калі тэрмінал выглядае чысцей.
- Машына, дзе вы не можаце вызначыць, хто апошні ўвайшоў, — гэта машына, стан якой вы не можаце апісаць.
Ні адзін з гэтых правоў не робіць агульны хост надзейным. Яны кажуць, ці рызыка абмежаваная дастаткова, каб працягнуць з абмежаванай задачай, а гэта іншае і больш сумленнае пытанне. Запішыце адказ, перш чым працягнуць.
Крок другі: трымаць уліковыя даныя збоку ад хоста
Жывы профіль — гэта не закладка. Профіль OpenVPN можа змяшчаць убудаваныя сертыфікаты і прыватны ключ, і яго імпарт запісвае гэты матэрыял на прыладу, якая вам не належыць. Тое ж самае тычыцца сесіі браўзера, якая захоўвае кукі, і любога менеджара пароляў, які кэшуе сховішча лакальна.
| Decision | Safe default | What it buys you |
|---|---|---|
| Which device to use | One you control, or an approved managed device | A host whose software you can account for |
| Which account to sign in with | A session that does not persist, with a second factor | Limited exposure if the machine retains state |
| What to install | Nothing; use the browser and the service's own portal | No profile or client left behind for the next user |
| What to do afterwards | Sign out everywhere and revoke sessions from a trusted device | An end to access that does not depend on local cleanup |
Аддавайце перавагу найменш доўгаму доступу, які падтрымлівае сэрвіс. Вэб-партал, які аўтэнтыфікуе на кожную сесію і патрабуе другога фактара, пакідае менш, чым настольны кліент з захаваным профілем, а сесія, якая заканчваецца пры закрыцці браўзера, лепшая за тую, што перажывае перазагрузку.
Затым праверце, што машына захоўвае. На агульным хосце Linux месцазнаходжанне профілю лёгка праверыць, а ў Windows эквівалентны пошук займае адну каманду. Знаходжанне профілю папярэдняга карыстальніка — карыснае нагадванне, што з вашым абыйдуцца так жа.
ls -la ~/.config/openvpn 2>/dev/null
Get-ChildItem -Path $HOME -Recurse -Filter *.ovpn -ErrorAction SilentlyContinueКрок трэці: спыніць доступ з месца, якому вы давяраеце
Лакальная чыстка вартая таго і недастатковая. Выйдзіце з сэрвісу, закрыйце браўзер, выдаліце любы спампаваны файл, а затым зрабіце крок, які сапраўды мае значэнне: адклічце сесію або ўліковыя даныя з прылады, якую вы кантралюеце.
Менавіта гэтае апошняе дзеянне людзі прапускаюць, бо лакальны экран выглядае чыстым. Токен сесіі, скапіяваны праграмай на хосце, працягвае працаваць пасля вашага сыходу, і яму ўсё роўна, што браўзер быў закрыты. Адкліканне — адзіны крок, які дапускае, што хост мог быць варожым. Гэта таксама адзіны крок, які працуе, калі ён такім і быў.
Калі прыватны ключ або сакрэт аднаўлення дакрануўся да машыны, лічыце яго раскрытым і змяніце яго, а не шукайце копіі. Для запісу, які выкарыстаў другі фактар, таксама прагледзьце прылады і сесіі, якія пералічвае пастаўшчык, бо токен, выдадзены падчас вашага візіту, можа быць яшчэ актыўным.
Запішыце вынік, пакуль ён свежы: якая прылада, які запіс, што ўсталявана, што адклікана і калі. Гэта нататка дазваляе наступнаму чалавеку адказаць на адзінае пытанне, якое мае значэнне: ці мае што-небудзь яшчэ доступ.
Прылада пад прыватным кантролем таксама патрабуе абслугоўвання, і яна дае вам аснову для кіравання канцавым пунктам, якой пазычаны тэрмінал ніколі не дасць. Тунэль быў лёгкай часткай.