Ненадзейны VPN — гэта тры асобныя межы, а не адна

«Я не давяраю гэтаму VPN» — звычайна гэта тры сцвярджэнні, апранутыя ў адно сказ. Аддаленыя суразмоўцы ў той сетцы могуць дасягнуць сэрвісаў на вашым хасце, аператар, які кіруе тунэлем, можа назіраць за трафікам, што праз яго ідзе, а кліенцкае праграмнае забеспячэнне, якое вы ўсталявалі, можа змяняць сеткавую палітыку вашай машыны. Перакананне, якое варта выправіць, — думка, што правіла міжсеткавага экрана, віртуальная машына або ўважлівы выбар аперацыйнай сістэмы адказвае на ўсе тры. Кожная мера адказвае роўна на адну з іх.

Міф: адзін сродак кантролю пакрывае ўсю рызыку

Звычайнае меркаванне — што далучэнне да ненадзейнай сеткі ёсць адным рашэннем з адной мерай змякчэння. Людзі выбіраюць той сродак кантролю, якому ўжо давяраюць, ужываюць яго і лічаць рызыку закрытай: міжсеткавы экран уключаны, працоўная прастора аднаразовая, кліент атрыманы ад паважанага пастаўшчыка.

Гэтыя сродкі не перакрываюцца так, як мяркуе здагадка. Міжсеткавы экран на хасце абмяжоўвае тое, да чаго можа дасягнуць аддалены суразмоўца, і нічога не робіць супраць аператара, які завяршае ваш TLS. Віртуальная машына аддзяляе працоўную прастору ад файлаў хаста і нічога не робіць супраць кампанента кліента, якому дазволена пераналаджваць сеткавы стек пад абодвума. Назваць мяжу, якую кожны сродак сапраўды стварае, — у гэтым і ўся практыка.

Іх раздзяленне таксама кажа, якую рызыку вы вырашылі прыняць. Большасць рэальных рашэнняў змякчае адну мяжу і церпіць другую, і гэта нармальна, пакуль запіс пра змену кажа, якая з іх якая.

Да чаго аддалены суразмоўца сапраўды можа дасягнуць

Пачніце з сэрвісаў, што слухаюць. Тунэльны інтэрфейс, які лічаць шырока давераным, бо яго пакеты прыйшлі зашыфраванымі, — звычайная памылка, і яна робіць кожнага лакальнага слухача патэнцыйнай цэллю для ўсіх іншых у той сетцы. Шыфраванне абараняе провад паміж двума канцамі; яно нічога не кажа пра намер суразмоўцы на іншым канцы.

ss -tulpn
sudo nft list ruleset
ip -br addr

Прывязвайце сэрвісы да адраса, які ім патрэбны, а не да кожнага інтэрфейса, і дазваляйце толькі тыя аперацыі, якіх патрабуе ўзгодненая задача. Трымайце перанакіраванне, маставанне і праксіраванне праграм яўнымі, бо два сеткавыя далучэнні самі па сабе не ствараюць транзітнага шляху, але правіла проксі абавязкова можа.

Узгодненая аднаразовая працоўная прастора памяньшае тое, да чаго можа дасягнуць аддаленая сетка, але толькі калі яе налады абагульвання адпавядаюць заяве. Абагуленыя папкі, інтэграцыя буфера абмену, агенты ўліковых даных і каналы кіравання — усе яны перасякаюць мяжу, якую працоўная прастора павінна была стварыць. Ярлык працоўнай прасторы нічога не даказвае пра тое, які з іх адкрыты.

Архітэктура нулявога даверу NIST выкладае прынцып, што стаіць за ўсім гэтым: сеткавае месца само па сабе не дае няяўнага даверу. Аўтэнтыфікацыя рэсурсу ўсё яшчэ мае працу пасля таго, як тунэль дапушчаны, і таксама пытанне, хто яшчэ дзеліць гэтую сетку.

Што бачыць аператар на шляху

VPN пераносіць ваш трафік у іншае месца на шляху; ён не дадае шыфравання прыкладанняў. Калі пастаўшчык завяршае ваш TLS, пастаўшчык можа чытаць тое, што ваш браўзер інакш абараніў бы, і ніякае лакальнае правіла міжсеткавага экрана гэтага не мяняе.

Захоўвайце звычайную праверку сертыфікатаў для сапраўднага прызначэння і разумейце шлях рэзалвера і метаданых, бо запыт DNS можа выявіць больш, чым карысная нагрузка, што ідзе перад ім. Адны метаданыя, гэта значыць, да якіх адрасоў вы звярталіся і калі, часта адказваюць на пытанне аператара без патрэбы чытаць змест. Таму «трафік зашыфраваны» і «трафік прыватны» — розныя сцвярджэнні.

Калі такая бачнасць непрымальная для задачы, адказ — іншая ўзгодненая архітэктура, а не большая лакальная фільтрацыя. Лакальная фільтрацыя не можа прыбраць назіральніка з шляху, на якім ён усё яшчэ сядзіць.

Што лакальнаму кліенту дазволена змяняць

Гэта мяжа, якую людзі прапускаюць, і менавіта яна робіць дзве іншыя бессэнсоўнымі. У Linux CAP_NET_ADMIN ахоплівае наладку інтэрфейсаў, адміністраванне міжсеткавага экрана і змены маршрутаў у яго сеткавым кантэксце. Праграма з гэтай магчымасцю можа перапісаць палітыку, якую вы толькі што напісалі.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Прастора імёнаў сеткі — сапраўдная мяжа для сеткавага стану і слабая для ўсяго астатняга: яна не ізалюе файлавую сістэму або сховішча ўліковых даных. Разглядайце яе як адзін слой, а не як кантэйнер для ўсёй праблемы.

Атрымайце кліент і яго канфігурацыю з крыніцы, што падтрымліваецца, перагледзьце паўнамоцтвы, якія ён запытвае, і трымайце прывілеяваныя кампаненты пад кантролем адміністратара. Віртуальная машына можа быць часткай кваліфікаванай мяжы ацэнкі, не робячыся дазволам запускаць невытлумачаны інсталятар побач з каштоўнымі ўліковымі данымі. Інсталятар працуе з тымі паўнамоцтвамі, якія вы яму даяце, і гэтыя паўнамоцтвы і ёсць мяжа.

Запішыце, якую мяжу вы прынялі

Скончыце сказам, які называе чатыры рэчы: давераны лакальны код, дазволены аддалены доступ, абароненыя даныя праграм і адносіны з аператарам, якія застаюцца. Гэты сказ каштоўнейшы за агульную заяву, што ВМ, аперацыйная сістэма або антывірус зрабілі варожую сетку бяспечнай.

Затым пацвердзіце, што вузкая аперацыя працуе і патрабаваная адмова ўсё яшчэ трымаецца, у тым ліку пасля падзення тунэля. Мяжа, якая існуе толькі пакуль тунэль падняты, — не тая мяжа, якую вы задокументавалі.

Ніякі тэст не даказвае адсутнасць усялякіх уразлівасцяў, і агляд, які сцвярджае адваротнае, перабольшвае. Сумленны вынік называе рэшткавую рызыку і чалавека, які яе прыняў.