Fitxers OVPN desconeguts: risc local i confiança remota

Tracta un fitxer OVPN com una entrada per a un programa, no com un certificat que el seu contingut sigui inofensiu. Comprovar l’adreça del servidor només respon on vol connectar-se el perfil i res més. Dins d’aquest fitxer hi ha dues decisions de confiança separades: què pot fer el client a la teva màquina i quin operador rep el trànsit. Un nom de protocol conegut no resol cap de les dues.

Dues decisions s’amaguen en un sol fitxer

La primera decisió és local. El perfil és un llenguatge de configuració, i el client que el llegeix pot admetre directrius que carreguen un connector, executen un script o canvien com s’apliquen l’encaminament i el DNS. La segona decisió és remota. Sigui el que sigui que contingui el fitxer, l’operador de sortida veu el trànsit que li arriba.

Confondre les dues coses produeix mals consells en totes dues direccions: un perfil d’aspecte net d’un operador desconegut, o el perfil d’un operador conegut amb un ganxo que ningú no ha llegit. Un perfil segur localment encara pot lliurar el teu trànsit a algú que no triaries.

Llegeix el perfil abans que ho faci cap client

Llegeix el fitxer com a text abans que cap client el processi. Busca directrius que apuntin fora del fitxer, facin referència a executables o canviïn privilegis, i compara aquesta llista amb el suport documentat del client. Una cerca curta no és una auditoria de seguretat, però et diu si el perfil és una llista de servidors o alguna cosa més.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Un resultat buit és tranquil·litzador i no concloent, perquè les opcions poden interactuar o venir d’un fitxer inclòs. Tracta la llista filtrada com una raó per continuar llegint, no com un veredicte.

Les instruccions que arriben amb el perfil mereixen el mateix escrutini que el perfil. Quatre peticions t’haurien d’aturar: activar scripts, instal·lar un assistent o una biblioteca, executar el client com a administrador o afeblir una restricció d’importació. Cadascuna mou la frontera de confiança cap enfora, i cap no és part ordinària d’importar una llista de servidors.

Llegeix també tot el fitxer una vegada, perquè una sola línia desconeguda és més fàcil de jutjar en context que en una llista filtrada. Si una línia et resulta desconeguda, busca-la al manual del teu client en lloc d’endevinar.

Què executarà realment el client

El manual 2.6 de Community OpenVPN documenta l’escala de script-security: el nivell 1 és el predeterminat i bloqueja els scripts definits per l’usuari, mentre que el nivell 2 els permet. La càrrega de connectors és un mecanisme a part amb la seva pròpia directriu. Per això el mateix fitxer pot significar coses diferents en clients diferents. Els clients mòbils i de fabricant poden acceptar un conjunt més estret de directrius, o cap dels ganxos.

El mètode d’inici importa tant com el client. Un perfil iniciat per un assistent privilegiat pot fer més que un d’iniciat en l’espai d’usuari, i aquesta diferència és una raó per llegir el missatge d’importació en lloc de descartar-lo.

La versió també importa, perquè aquests nivells es defineixen per versió i un client diverses versions enrere pot no implementar la mateixa política. Llegeix el manual que correspongui a la compilació que executes, no el més nou que trobis. Si el client no mostra cap cadena de versió enlloc, ja és una raó per anar més a poc a poc.

Compara l’operador, no només l’adreça

Compara els operadors com compares qualsevol altre intermediari. Pregunta qui gestiona la sortida, què registren i com t’ha arribat el perfil. Una pàgina de descàrrega verificada i una empremta que coincideix diuen més que un nom d’amfitrió conegut. Un servidor accessible només demostra que alguna cosa ha respost.

Les credencials són la part que la gent equivoca sota pressió. No escriguis la contrasenya d’un compte no relacionat en un perfil descarregat perquè el nom del servidor et sona. Un perfil també pot portar una clau privada en clar, així que publicar el fitxer sencer en un fil de revisió lliura aquesta clau al fil.

Una sessió HTTPS ben validada encara amaga el contingut de la pàgina a qui només reenvia paquets, així que la sortida no veu automàticament totes les contrasenyes. Sí que veu quins llocs visitis, i val la pena dir aquesta frontera amb precisió en lloc d’exagerar-la.

Quan l’origen del fitxer no queda clar, o un privilegi que demana no té cap explicació que puguis acceptar, substitueix el perfil per un d’una font que es pugui fer respondre. En una connexió de feina gestionada, l’administrador hauria d’aprovar el client i la configuració com una sola decisió, no com dues. Res aquí no exigeix que demostris mala intenció primer; negar l’accés és una resposta legítima.