Незнаёмыя файлы OVPN: мясцовая рызыка і давер на адлегласці

Стаўцеся да файла OVPN як да ўваходных даных праграмы, а не як да пасведчання, што яго змесціва бясшкоднае. Праверка адраса сервера адказвае толькі на пытанне, куды профіль хоча падключыцца, і ні на што болей. Унутры гэтага файла ляжаць два асобныя рашэнні пра давер: што кліент можа рабіць на вашай машыне і які аператар атрымлівае трафік. Знаёмае імя пратакола не вырашае ні аднаго з іх.

Два рашэнні хаваюцца ў адным файле

Першае рашэнне — мясцовае. Профіль — гэта мова канфігурацыі, і кліент, які чытае яго, можа падтрымліваць дырэктывы, што загружаюць убудову, запускаюць скрыпт або змяняюць спосаб прымянення маршрутызацыі і DNS. Другое рашэнне — аддаленае. Што б ні змяшчаў файл, аператар выйсця бачыць трафік, які да яго даходзіць.

Змешванне гэтых двух дае дрэнную параду ў абодва бакі: чысты на выгляд профіль ад невядомага аператара або профіль вядомага аператара з кручком, які ніхто не прачытаў. Профіль, бяспечны лакальна, усё яшчэ можа перадаць ваш трафік таму, каго вы не выбралі б.

Прачытайце профіль раней, чым гэта зробіць любы кліент

Прачытайце файл як тэкст да таго, як любы кліент апрацуе яго. Шукайце дырэктывы, якія паказваюць па-за межы файла, спасылаюцца на выканальныя файлы або змяняюць прывілеі, і параўнайце гэты спіс з дакументаванай падтрымкай кліента. Кароткі пошук — не аўдыт бяспекі, але ён кажа вам, ці профіль з'яўляецца спісам сервераў, ці чымсьці большым.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Пусты вынік супакойвае, але не даказвае нічога, бо опцыі могуць узаемадзейнічаць або падавацца ўключаным файлам. Успрымайце адфільтраваны спіс як прычыну чытаць далей, а не як вердыкт.

Інструкцыі, якія прыходзяць разам з профілем, заслугоўваюць такой жа ўвагі, як і сам профіль. Чатыры просьбы павінны вас спыніць: уключыць скрыпты, усталяваць памочнік або бібліятэку, запусціць кліент ад імя адміністратара або паслабіць абмежаванне імпарту. Кожная з іх адсоўвае мяжу даверу вонкі, і ні адна не з'яўляецца звычайнай часткай імпарту спісу сервераў.

Прачытайце ўвесь файл цалкам яшчэ раз, бо адзін незнаёмы радок лягчэй ацаніць у кантэксце, чым у адфільтраваным спісе. Калі радок незнаёмы, знайдзіце яго ў кіраўніцтве для вашага кліента, а не ўгадвайце.

Што кліент насамрэч выканае

Кіраўніцтва Community OpenVPN 2.6 дакументуе ўзроўні script-security: узровень 1 — прадвызначаны і блакуе скрыпты, вызначаныя карыстальнікам, а ўзровень 2 дазваляе іх. Загрузка ўбудоў — асобны механізм са сваёй дырэктывай. Таму адзін і той жа файл можа значыць рознае ў розных кліентах. Мабільныя кліенты і кліенты вытворцаў могуць прымаць вузейшы набор дырэктыў або ўвогуле не падтрымліваць кручкі.

Спосаб запуску важны не менш за кліент. Профіль, запушчаны прывілеяваным памочнікам, можа зрабіць больш, чым запушчаны ў прасторы карыстальніка, і гэтая розніца — прычына прачытаць запыт імпарту, а не адкінуць яго.

Версія таксама важная, бо гэтыя ўзроўні вызначаны для кожнага выпуску, і кліент, які адстаў на некалькі версій, можа не прытрымлівацца той жа палітыкі. Чытайце кіраўніцтва, якое адпавядае зборцы, што вы запускаеце, а не найноўшае з даступных. Калі кліент нідзе не паказвае радок версіі, гэта ўжо прычына не спяшацца.

Параўнайце аператара, а не толькі адрас

Параўноўвайце аператараў так, як параўноўваеце любога іншага пасярэдніка. Спытайце, хто кіруе выйсцем, што яны запісваюць і як профіль трапіў да вас. Правераная старонка загрузкі і адпаведны адбітак пальца кажуць больш, чым знаёмае імя хоста. Даступны сервер даказвае толькі тое, што нешта адказала.

Уліковыя даныя — гэта тое, у чым людзі пад ціскам памыляюцца. Не ўводзьце пароль непавязанага ўліковага запісу ў загружаны профіль, таму што імя сервера выглядае знаёмым. Профіль можа таксама несці прыватны ключ у адкрытым выглядзе, таму публікацыя ўсяго файла ў тэме водгуку перадае гэты ключ тэме.

Належным чынам правераная сесія HTTPS усё яшчэ хавае змесціва старонкі ад любога, хто проста перасылае пакеты, таму выйсце не бачыць аўтаматычна кожны пароль. Яно бачыць, якія сайты вы наведваеце, і гэтую мяжу варта называць дакладна, а не перабольшваць.

Там, дзе паходжанне файла застаецца няясным або прывілей, якога ён патрабуе, не мае тлумачэння, якое вы можаце прыняць, заменіце профіль такім, што паходзіць з крыніцы, якую можна прыцягнуць да адказнасці. На кіраваным працоўным злучэнні адміністратар павінен ухваліць кліент і канфігурацыю як адно рашэнне, а не два. Нішто тут не патрабуе спачатку даказаць злы намер; адмова ў доступе — легітымны адказ.