Nepoznati OVPN fajlovi: lokalni rizik i povjerenje na daljinu

Tretirajte OVPN fajl kao ulaz za program, a ne kao potvrdu da je njegov sadržaj bezopasan. Provjera adrese servera odgovara samo gdje se profil želi povezati i ništa drugo. Dvije odvojene odluke o povjerenju stoje u tom fajlu: šta klijent smije raditi na vašem računaru i koji operater prima saobraćaj. Poznato ime protokola ne rješava nijednu.

Dvije odluke se kriju u jednom fajlu

Prva odluka je lokalna. Profil je konfiguracijski jezik, a klijent koji ga čita može podržavati direktive koje učitavaju dodatak, pokreću skriptu ili mijenjaju način primjene rutiranja i DNS-a. Druga odluka je udaljena. Šta god fajl sadrži, izlazni operater vidi saobraćaj koji do njega stigne.

Miješanje tih dviju stvari daje loš savjet u oba smjera: čist profil od nepoznatog operatera ili profil poznatog operatera s kukom koju niko nije pročitao. Profil koji je lokalno siguran ipak može predati vaš saobraćaj nekome koga ne biste odabrali.

Pročitajte profil prije nego to učini bilo koji klijent

Pročitajte fajl kao tekst prije nego ga bilo koji klijent obradi. Tražite direktive koje upućuju izvan fajla, pozivaju se na izvršne datoteke ili mijenjaju privilegije, pa uporedite taj spisak s dokumentovanom podrškom klijenta. Kratka pretraga nije sigurnosni pregled, ali vam kaže je li profil spisak servera ili nešto više.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Prazan rezultat ulijeva povjerenje ali nije konačan, jer opcije mogu djelovati zajedno ili ih može dostaviti uključeni fajl. Filtrirani spisak shvatite kao razlog da nastavite čitati, a ne kao presudu.

Uputstva koja stižu uz profil zaslužuju istu pažnju kao i profil. Četiri zahtjeva treba da vas zaustave: omogućite skripte, instalirajte pomoćnik ili biblioteku, pokrenite klijent kao administrator ili oslabite ograničenje uvoza. Svaki od njih pomjera granicu povjerenja prema van i nijedan nije uobičajen dio uvoza spiska servera.

Pročitajte cijeli fajl i jednom u cjelini, jer je jednu nepoznatu liniju lakše procijeniti u kontekstu nego na filtriranom spisku. Ako je linija nepoznata, potražite je u priručniku za svoj klijent umjesto da nagađate.

Šta će klijent zapravo izvršiti

Community OpenVPN-ov 2.6 priručnik dokumentuje ljestvicu script-security: nivo 1 je zadani i blokira skripte koje definiše korisnik, dok nivo 2 ih dopušta. Učitavanje dodataka je odvojen mehanizam s vlastitom direktivom. Zato isti fajl može značiti različite stvari u različitim klijentima. Mobilni i klijenti proizvođača mogu prihvatiti uži skup direktiva ili nijednu od kuka.

Način pokretanja važan je koliko i klijent. Profil koji pokrene privilegovani pomoćnik može učiniti više od onog pokrenutog u korisničkom prostoru, i ta razlika je razlog da pročitate upit za uvoz umjesto da ga odbacite.

I verzija je važna, jer su ovi nivoi definisani po izdanju i klijent nekoliko verzija iza možda ne primjenjuje istu politiku. Čitajte priručnik koji odgovara gradnji koju pokrećete, a ne najnoviji koji nađete. Ako klijent nigdje ne prikazuje niz verzije, to je već razlog da usporite.

Uporedite operatera, ne samo adresu

Upoređujte operatere kao što upoređujete bilo kojeg drugog posrednika. Pitajte ko vodi izlaz, šta evidentiraju i kako je profil došao do vas. Provjerena stranica za preuzimanje i odgovarajući otisak prsta govore više od poznatog imena hosta. Dostupan server dokazuje samo da je nešto odgovorilo.

Pristupni podaci su dio koji ljudi pod pritiskom pogrešno shvate. Ne upisujte lozinku nepovezanog računa u preuzeti profil zato što ime servera izgleda poznato. Profil može nositi i privatni ključ u čistom obliku, pa objavljivanje cijelog fajla u temi za recenziju predaje taj ključ temi.

Ispravno validirana HTTPS sesija i dalje skriva sadržaj stranice od svakoga ko samo prosljeđuje pakete, pa izlaz ne vidi automatski svaku lozinku. Vidi koje stranice posjećujete, a tu granicu vrijedi iznijeti tačno, a ne pretjerivati.

Tamo gdje porijeklo fajla ostaje nejasno ili privilegija koju traži nema objašnjenje koje možete prihvatiti, zamijenite profil onim iz izvora koji se može pozvati na odgovornost. Na upravljanoj poslovnoj vezi administrator bi trebao odobriti klijenta i konfiguraciju kao jednu odluku, a ne dvije. Ništa ovdje ne zahtijeva da prvo dokažete zlu namjeru; odbijanje pristupa legitiman je odgovor.