Непознати OVPN файлове: локален риск и доверие от разстояние

Отнасяйте се към OVPN файла като към входни данни за програма, а не като към удостоверение, че съдържанието му е безвредно. Проверката на адреса на сървъра отговаря само къде иска да се свърже профилът и нищо друго. Във файла стоят две отделни решения за доверие: какво може да прави клиентът на вашата машина и кой оператор получава трафика. Познато име на протокол не решава нито едно от двете.

Две решения се крият в един файл

Първото решение е локално. Профилът е език за конфигурация и клиентът, който го чете, може да поддържа директиви, които зареждат приставка, изпълняват скрипт или променят начина, по който се прилагат маршрутизирането и DNS. Второто решение е отдалечено. Каквото и да съдържа файлът, операторът на изхода вижда трафика, който стига до него.

Смесването на двете дава лош съвет в двете посоки: чист на вид профил от непознат оператор или профил на известен оператор с кука, която никой не е прочел. Профил, безопасен локално, все още може да предаде трафика ви на някого, когото не бихте избрали.

Прочетете профила, преди да го направи който и да е клиент

Прочетете файла като текст, преди който и да е клиент да го обработи. Търсете директиви, които сочат извън файла, позовават се на изпълними файлове или променят привилегии, и сравнете този списък с документираната поддръжка на клиента. Краткото търсене не е проверка за сигурност, но ви казва дали профилът е списък със сървъри или нещо повече.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Празният резултат е успокояващ и не е окончателен, защото опциите могат да си взаимодействат или да се подават от включен файл. Приемайте филтрирания списък като причина да четете нататък, а не като присъда.

Инструкциите, които идват заедно с профила, заслужават същото внимание като профила. Четири искания трябва да ви спрат: включване на скриптове, инсталиране на помощник или библиотека, стартиране на клиента като администратор или отслабване на ограничение за импорт. Всяко от тях измества границата на доверие навън и нито едно не е обичайна част от импортирането на списък със сървъри.

Прочетете целия файл и наведнъж, защото един непознат ред се преценява по-лесно в контекст, отколкото във филтриран списък. Ако редът е непознат, потърсете го в ръководството за вашия клиент, вместо да гадаете.

Какво всъщност ще изпълни клиентът

Ръководството на Community OpenVPN 2.6 документира стъпалата на script-security: ниво 1 е по подразбиране и блокира дефинирани от потребителя скриптове, докато ниво 2 ги разрешава. Зареждането на приставки е отделен механизъм със своя директива. Затова един и същ файл може да означава различни неща в различните клиенти. Мобилните клиенти и тези на производителите може да приемат по-тесен набор от директиви или нито една от куките.

Начинът на стартиране е толкова важен, колкото и клиентът. Профил, стартиран от привилегирован помощник, може да направи повече от такъв, стартиран в потребителско пространство, и тази разлика е причина да прочетете подканата за импорт, вместо да я отхвърлите.

Версията също е важна, защото тези нива се дефинират за всяко издание и клиент, изостанал с няколко версии, може да не прилага същата политика. Четете ръководството, което отговаря на изданието, което използвате, а не най-новото, което намерите. Ако клиентът никъде не показва низ за версия, това вече е причина да не бързате.

Сравнете оператора, не само адреса

Сравнявайте операторите така, както сравнявате всеки друг посредник. Питайте кой управлява изхода, какво записват и как профилът е стигнал до вас. Проверена страница за изтегляне и съвпадащ отпечатък казват повече от познато име на хост. Достъпен сървър доказва само, че нещо е отговорило.

Идентификационните данни са частта, в която хората под натиск грешат. Не въвеждайте парола на несвързан акаунт в изтеглен профил, защото името на сървъра изглежда познато. Профилът може да носи и частен ключ в явен вид, така че публикуването на целия файл в тема за преглед предава този ключ на темата.

Правилно валидирана HTTPS сесия все още скрива съдържанието на страницата от всеки, който само препраща пакети, така че изходът не вижда автоматично всяка парола. Вижда обаче кои сайтове посещавате и тази граница заслужава да се каже точно, а не с преувеличение.

Когато произходът на файла остава неясен или привилегията, която изисква, няма обяснение, което да приемете, заменете профила с такъв от източник, който може да бъде подведен под отговорност. При управлявана работна връзка администраторът трябва да одобри клиента и конфигурацията като едно решение, а не като две. Нищо тук не изисква първо да докажете злонамереност; отказът на достъп е законен отговор.