Какво може да промени предаден VPN профил на устройството ви

Когато дадете на клиента си VPN профил, вие му давате конфигурация, написана от някой друг, която тази програма после изпълнява на вашата машина. Импортирането ѝ може да промени накъде отива покритият трафик, на кой партньор вярва устройството ви и в някои формати кои локални програми се стартират при вдигане на тунела. Файлът не е отметка; той е малка програма в декларативен формат.

Четете го така, както бихте чели команден скрипт от същия източник.

Клиентът го тълкува, не вие

Всяко поле във файла е инструкция към конкретен клиент. Крайната точка и протоколът решават накъде отива тунелът, блокът за удостоверяване решава каква тайна се изисква, а директивите за маршрути решават какво влиза в него. Сертификати или частен ключ могат да бъдат вградени като блокове, вместо да се посочват като файлове, и затова един текстов файл понякога носи всичко нужно, за да се представите за вас пред шлюз. Именно това свойство прави случайното споделяне на файлове толкова опасно.

Профилите на OpenVPN могат също да носят скриптови куки, пътища до плъгини и ниво на сигурност, което определя дали тези куки могат да се изпълняват. Тази комбинация прави непознатия профил заслужаващ четене ред по ред вместо двойно щракване. Клиентът ще направи точно това, което пише във файла, и ще го направи с вашите права.

Промените в маршрутизацията се виждат след едно свързване

Профилът с пълен тунел инсталира маршрути, които изпращат всичко през шлюза, докато профилът с разделен тунел изпраща само избрани префикси. Някои профили също натрапват DNS сървър, което тихо променя кой вижда заявките ви. Нищо от това не е злонамерено само по себе си и нищо от него не е очевидно от името на файла.

Сравнете таблицата за маршрутизация преди и след първото свързване и ще видите намерението с един поглед. Профил, рекламиран като достъп до едно вътрешно приложение, но инсталиращ по-широк маршрут по подразбиране, ви казва нещо за автора си.

Доверителният материал и куките носят истинската тежест

Профилът може да предостави информация за доверие на VPN клиента, а пакет за конфигурация на платформата може да отиде по-далеч и да инсталира сертификат или корен в системно хранилище. Това са различни обхвати с различни последствия. Случаят в обхвата на клиента засяга проверката на едно приложение; случаят в системен обхват засяга всичко, което използва хранилището за доверие на платформата.

Скриптовите куки и плъгините са другата половина. Директива, която изпълнява команда при свързване, или плъгин, зареден в процеса на клиента, има вашите права и нищо от изолацията на клиента. Ако профил, който не сте поискали, съдържа такъв, това е въпрос към човека, който го е изпратил.

Нито една от двете категории не е автоматично враждебна. Корпоративните внедрявания използват и двете. Смисълът е, че всяка изисква обяснение, което можете да проверите.

Проверете произхода, после въведете тайната

Установете кой е издал файла по канал, на който вече вярвате, а не по съобщението, което го е доставило. Сравнете данните за крайната точка и сертификата с публикуваната документация на оператора. Ако профилът е пристигнал без заявка, вземете нов директно от оператора, вместо да поправяте копието, което са ви дали. Попитайте коя версия на клиента поддържа операторът, защото същият файл може да бъде тълкуван различно от друг клиент.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Никога не поставяйте парола в необяснено поле, за да видите дали работи, и никога не приемайте непознато искане за права само за да завършите импорт. Успешното свързване доказва, че крайната точка е отговорила, и нищо повече.

Премахнете импортираното копие, а не изтегленото

Клиентите копират профила в собственото си хранилище, така че изтриването на изтегления файл оставя импортираната връзка активна. Премахнете я през собствения интерфейс на клиента и проверете дали сертификатът, добавен при импорта, също е изчезнал. После потвърдете, че маршрутите, които е инсталирал, също са изчезнали.

Ако сертификат е бил инсталиран в системен обхват, премахването на профила не е достатъчно. Това почистване принадлежи на управлението на доверието на платформата и си струва да се направи съзнателно, вместо да се надяваме, че следващото рестартиране ще се справи.