Una VPN no fiable són tres fronteres separades, no una

«No confio en aquesta VPN» normalment són tres afirmacions vestides amb una sola frase. Els parells remots d’aquella xarxa poden arribar a serveis del vostre amfitrió, l’operador que executa el túnel pot observar el trànsit que hi passa, i el programari client que heu instal·lat pot ser capaç de canviar la política de xarxa de la vostra màquina. La creença que cal corregir és que una regla de tallafocs, una màquina virtual o una elecció acurada del sistema operatiu responen a les tres. Cada mesura respon exactament a una d’elles.

El mite: un sol control cobreix tot el risc

La suposició habitual és que unir-se a una xarxa no fiable és una sola decisió amb una sola mitigació. La gent tria el control en què ja confia, l’aplica i considera el risc tancat: el tallafocs està activat, l’espai de treball és d’un sol ús, el client prové d’un proveïdor respectable.

Aquests controls no se solapen tal com la suposició implica. Un tallafocs d’amfitrió limita a què pot arribar un parell remot, i no fa res contra un operador que acaba el vostre TLS. Una màquina virtual separa un espai de treball dels fitxers del vostre amfitrió, i no fa res contra un component client al qual es permet reconfigurar la pila de xarxa que hi ha sota tots dos. Anomenar la frontera que cada control crea realment és tot l’exercici.

Separar-les també us diu quin risc heu triat acceptar. La majoria de decisions reals mitiguen una frontera i en toleren una altra, cosa que està bé sempre que el registre del canvi digui quina és quina.

A què pot arribar realment el parell remot

Comenceu pels serveis que escolten. La interfície de túnel tractada com a àmpliament fiable perquè els seus paquets han arribat xifrats és l’error habitual, i converteix cada oient local en un objectiu candidat per a qui més seure en aquella xarxa. El xifrat protegeix el cable entre dos extrems; no diu res sobre la intenció del parell de l’altre costat.

ss -tulpn
sudo nft list ruleset
ip -br addr

Lligueu els serveis a l’adreça que els cal en lloc de a cada interfície, i permeteu només les operacions que la tasca aprovada requereix. Manteniu explícits el reenviament, el bridge i el proxying d’aplicacions, perquè dues connexions de xarxa no creen un camí de trànsit per si soles, però una regla de proxy sí que pot.

Un espai de treball d’un sol ús aprovat redueix a què pot arribar la xarxa remota, però només quan la seva configuració de compartició coincideix amb l’afirmació. Les carpetes compartides, la integració del porta-retalls, els agents de credencials i els canals de gestió travessen tots la frontera que l’espai de treball havia de crear. L’etiqueta de l’espai de treball no demostra res sobre quins d’aquests són oberts.

L’arquitectura de confiança zero de NIST afirma el principi que hi ha darrere de tot això: la ubicació de xarxa per si sola no atorga confiança implícita. L’autenticació de recursos encara té feina després que s’admeti el túnel, i també la té la pregunta de qui més comparteix aquella xarxa.

Què pot veure l’operador al camí

Una VPN mou el vostre trànsit a un altre lloc del camí; no afegeix xifrat d’aplicació. Si el proveïdor acaba el vostre TLS, el proveïdor pot llegir el que el vostre navegador hauria protegit d’una altra manera, i cap regla de tallafocs local ho canvia.

Manteniu la validació normal de certificats per a la destinació real i entengueu el camí del resolutor i de les metadades, perquè una consulta DNS pot revelar més que la càrrega útil que la precedeix. Només les metadades, és a dir, a quines adreces heu contactat i quan, sovint responen la pregunta que l’operador feia sense necessitat de llegir contingut. Per això «el trànsit està xifrat» i «el trànsit és privat» són afirmacions diferents.

Si aquesta visibilitat és inacceptable per a la tasca, la resposta és una altra arquitectura aprovada en lloc de més filtratge local. El filtratge local no pot treure un observador d’un camí on encara seu.

Què pot canviar el client local

Aquesta és la frontera que la gent es perd, i és la que fa irrellevants les altres dues. A Linux, CAP_NET_ADMIN cobreix la configuració d’interfícies, l’administració del tallafocs i els canvis de rutes dins del seu context de xarxa. El programari que té aquesta capacitat pot reescriure la política que acabeu d’escriure.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Un espai de noms de xarxa és una frontera real per a l’estat de xarxa i una de pobra per a tota la resta: no aïlla el sistema de fitxers ni el magatzem de credencials. Tracteu-lo com una capa i no com un contenidor de tot el problema.

Obteniu el client i la seva configuració d’una font mantinguda, reviseu l’autoritat que demana i manteniu els components privilegiats sota control d’administrador. Una màquina virtual pot formar part d’una frontera d’avaluació qualificada sense convertir-se en permís per executar un instal·lador inexplicat al costat de credencials valuoses. L’instal·lador s’executa amb l’autoritat que li doneu, i aquesta autoritat és la frontera.

Escriviu quina frontera heu acceptat

Acabeu amb una frase que nomeni quatre coses: el codi local fiable, l’accés remot permès, les dades d’aplicació protegides i la relació amb l’operador que queda. Aquesta frase val més que una afirmació general que una VM, un sistema operatiu o un producte antivirus han fet segura una xarxa hostil.

Després confirmeu que l’operació estreta funciona i que la denegació requerida encara es manté, també després que caigui el túnel. Una frontera que només existeix mentre el túnel és amunt no és la frontera que heu documentat.

Cap prova demostra que tota vulnerabilitat és absent, i una revisió que afirmi el contrari exagera. La sortida honesta nomena el risc residual i la persona que el va acceptar.