ভিএম-এর ভিতরের ভিপিএন কি হোস্ট থেকে ট্রাফিক লুকাতে পারে?

আপনি ভার্চুয়াল মেশিনের ভিতরে ক্লায়েন্ট ইনস্টল করেন, টানেল উঠে আসে, আর গেস্টের ট্রাফিক এনক্রিপ্ট হয়। মেশিনের বাইরের নেটওয়ার্কের বিরুদ্ধে এটি কিছুটা কাজে আসে। কিন্তু যে অপারেটিং সিস্টেম গেস্ট চালায় তার বিরুদ্ধে এটি অনেক কম দেয়, কারণ সে গেস্টের মেমরি পড়তে ও তার স্ক্রিন দেখতে পারে। নিচের যাচাইগুলো আলাদা করে দেখায় টানেল কী রক্ষা করে আর হোস্ট কী ধরে রাখে।

টানেলের আগেই হোস্ট প্লেইনটেক্সট পড়ে

ডেস্কটপ হাইপারভাইজার গেস্টকে প্রসেসরের সময় দেয় এবং সে যে মেমরি লেখে তা পড়তে পারে, এমনকি ব্রাউজার এইমাত্র যে পৃষ্ঠাটি ডিক্রিপ্ট করেছে সেটিও। হোস্টের একটি মনিটরিং টুল সাইফার আক্রমণ না করেই সেই প্লেইনটেক্সট পড়ে, আর একই স্তরের একটি কিলগার যেকোনো ক্লায়েন্ট সেগুলো মোড়ানোর আগেই কীস্ট্রোক সংগ্রহ করে। এর কোনোটির জন্য ভাঙা ভিপিএন দরকার হয় না, তাই একটি পরিচ্ছন্ন টানেল একটি ইনস্ট্রুমেন্টেড হোস্টের পাশে থাকতে পারে।

এই অবস্থান যা হস্তান্তর করে না তা হলো দূর প্রান্তের চাবি, বা অন্য কোনো প্রান্ত যে বিষয়বস্তু এন্ড-টু-এন্ড রক্ষা করে। টানেল তবুও যে নেটওয়ার্ক অতিক্রম করে তার বিরুদ্ধে টিকে থাকে; ফাঁকটি স্থানীয়।

আর্টিফ্যাক্ট সেশনের চেয়ে বেশি বাঁচে

একটি VirtualBox গেস্ট বিরতি দিন, আর সংরক্ষিত মেমরি অবস্থাসহ একটি .sav ফাইল পাশে দেখা যায়। VMware সাসপেন্ড ও স্ন্যাপশটের কাজে .vmem ও .vmsn ফাইল রেখে যায়, আর Hyper-V চেকপয়েন্ট হোস্ট ভলিউমে .avhdx ডিফারেন্সিং ডিস্ক বাড়ায়। ওই ফাইলগুলোর কোনোটিই গেস্টের ডিস্ক এনক্রিপশন দিয়ে এনক্রিপ্ট হয় না। হোস্টের পেজফাইলও হাইপারভাইজার যে পৃষ্ঠাগুলো বের করে দিয়েছে তা পেতে পারে — Tails তার ভার্চুয়ালাইজেশন নির্দেশনায় যে চিহ্নের ব্যাপারে সতর্ক করে। হাইপারভাইজার স্ন্যাপশট রাখে কি না এবং হোস্টের সোয়াপ এনক্রিপ্টেড ভলিউমে আছে কি না তা যাচাই করুন।

ওই ফাইলগুলোর জন্য একটি ধারণ নিয়ম ঠিক করুন, ডিফল্টে ভরসা না করে, কারণ ডিফল্ট কেউ মুছে না ফেলা পর্যন্ত সেগুলো রাখে। যে গেস্ট অ্যামনেসিক সেশন ঘোষণা করে সে এগুলোর কিছুই বদলায় না; ফাইল লেখে হোস্ট, তাই হোস্টের নীতিই চলে। স্ন্যাপশট কোথায় থাকে বা কে খুলতে পারে তা যদি আপনি বলতে না পারেন, তবে গেস্টের নকশা মূল্যায়িত হয়নি।

ডিস্ক এনক্রিপশন সংকীর্ণ ক্ষেত্র ঢাকে

গেস্টের ডিস্ক এনক্রিপ্ট করা বিশ্রামে থাকা ইমেজ, অন্য মেশিনে নেওয়া ভলিউম, বা পালিয়ে যাওয়া ব্যাকআপ রক্ষা করে। গেস্ট চলার সময় এটি কিছুই করে না, কারণ গেস্ট ডিক্রিপ্ট করার পরেই হাইপারভাইজার মেমরি পড়ে। পাসফ্রেজকে সঞ্চিত কপির সুরক্ষা হিসেবে ধরুন, ভিএম চালানো মেশিনের বিরুদ্ধে ঢাল হিসেবে নয়।

চাবি ও জীবন্ত নির্বাহ আলাদা প্রশ্ন। হোস্টেড বা শেয়ার্ড পরিবেশে প্রোভাইডার ইমেজের চাবি ধরে রাখতে পারে, অথচ গেস্ট এমন হার্ডওয়্যারে চালায় যা আপনি কখনো পরিদর্শন করেন না, তাই দুটো উত্তরই লিখে রাখুন।

পরিবহন একই দৃশ্য নয়

যে গেস্টের টানেল বহন করে সে বাইরের প্রান্তবিন্দু, সময় ও আয়তন দেখে, পেলোড বন্ধ থাকলেও। এই ধরনের মেটাডেটা প্রায়ই পর্যবেক্ষকের আসল প্রশ্নের উত্তর দেয়, তাই এটিকে শব্দ নয়, প্রকাশের অংশ হিসেবে ধরুন। অ্যাডাপ্টার মোড ও রাউটিং ঠিক করে হোস্ট-স্তরের ভিপিএন নিয়ম গেস্টের ট্রাফিককে আদৌ স্পর্শ করে কি না।

এটি গেস্টের ভিতর থেকে পরীক্ষা করুন, হোস্টের ব্রাউজার থেকে নয়। হোস্টের ব্রাউজার ঢাকা থাকতে পারে অথচ গেস্ট সরাসরি বাইরে ব্রিজ করা, এবং দুটো ভিন্ন রুট ব্যবহার করেও একটি সংযোগ ভাগ করতে পারে। অ্যাডাপ্টার মোড লিখে রাখুন, তারপর অনুমানে ভরসা না করে হোস্টের ফিজিক্যাল ইন্টারফেসে ক্যাপচার দেখুন।

ক্রসিং কমিয়ে আনুন, তারপর রেকর্ড লিখুন

গেস্ট এমন হার্ডওয়্যারে চালান যা আপনি নিয়ন্ত্রণ করেন, হাইপারভাইজার প্যাচযুক্ত রাখুন, এবং শেয়ার্ড ফোল্ডার, ক্লিপবোর্ড শেয়ারিং ও ড্র্যাগ-অ্যান্ড-ড্রপ কেবল যেখানে কাজের দরকার সেখানে চালু করুন। প্রত্যেকটিই হোস্ট ও গেস্টের মধ্যে একটি চ্যানেল, আর প্রেরিত ডিফল্ট সাধারণত কাজের প্রয়োজনীয়তার চেয়ে বেশি খোলা থাকে। যে গেস্ট অ্যাডিশন ব্যবহার করেন না সেগুলো বন্ধ করুন, তারপর নিশ্চিত করুন সেটিংস রিবুটের পরও টেকে, কারণ আপগ্রেড আপনি যা বন্ধ করেছিলেন তা ফিরিয়ে আনতে পারে।

এই ধাপগুলো ক্রসিং সংকীর্ণ করে; গেস্টকে আলাদা ভৌত বিশ্বাস-সীমান্ত বানায় না। কঠিন করা ভিএম-কে তেমন সীমান্ত ভাবাই ঝুঁকি মূল্যায়নে সাধারণত ভুল হয়।

সংবেদনশীল কাজের জন্য লিখে রাখুন ট্রাফিক কীভাবে রাউট হয় এবং কোন স্থানীয় সিস্টেম ওয়ার্কলোড চালায় ও রাখে। যোগ করুন কে হোস্ট নিয়ন্ত্রণ করে এবং সেশন শেষে কোন ফাইল টেকে। যে গোপনীয়তা-নোট কেবল টানেলের কথা বলে, সে ব্যবস্থার অর্ধেক বর্ণনা করে।