Què pot canviar un perfil VPN lliurat al teu dispositiu

Lliurar al teu client un perfil VPN és lliurar-li una configuració escrita per una altra persona, que aquell programa després executa a la teva màquina. Importar-lo pot canviar on va el trànsit cobert, en quin igual confia el dispositiu i, en alguns formats, quins programes locals s’executen quan el túnel s’aixeca. El fitxer no és un marcador; és un petit programa en un format declaratiu.

Llegeix-lo tal com llegiries un script d’ordres del mateix origen.

L’interpreta el client, no tu

Cada camp del fitxer és una instrucció per a un client concret. El punt final i el protocol decideixen on va el túnel, el bloc d’autenticació decideix quin secret es demana i les directrius de ruta decideixen què hi entra. Els certificats o una clau privada poden anar incrustats com a blocs en lloc de referenciats com a fitxers, i per això un sol fitxer de text de vegades porta tot el que cal per suplantar-te davant d’una passarel·la. Aquesta propietat és la que fa tan perillós compartir fitxers sense més.

Els perfils OpenVPN també poden portar enganxalls d’script, camins de connectors i un nivell de seguretat que determina si aquests enganxalls poden executar-se. Aquesta combinació és el que fa que un perfil desconegut valgui la pena de llegir línia per línia en lloc de fer-hi doble clic. El client farà exactament el que digui el fitxer, i ho farà amb els teus privilegis.

Els canvis d’encaminament es veuen després d’una connexió

Un perfil de túnel complet instal·la rutes que ho envien tot per la passarel·la, mentre que un perfil de túnel dividit només envia prefixos seleccionats. Alguns perfils també empenyen un servidor DNS, cosa que canvia silenciosament qui veu les teves consultes. Res d’això no és maliciós per si mateix, i res d’això no és evident pel nom del fitxer.

Compara la taula d’encaminament abans i després de la primera connexió i veuràs la intenció d’un cop d’ull. Un perfil anunciat com a accés a una sola aplicació interna però que instal·la una ruta per defecte més àmplia t’està dient alguna cosa sobre el seu autor.

El material de confiança i els enganxalls són el que pesa de veritat

Un perfil pot proporcionar informació de confiança al client VPN, i un paquet de configuració de plataforma pot anar més enllà i instal·lar un certificat o una arrel en un magatzem del sistema. Són àmbits diferents amb conseqüències diferents. El cas d’àmbit de client afecta la validació d’una aplicació; el cas d’àmbit de sistema afecta tot el que fa servir el magatzem de confiança de la plataforma.

Els enganxalls d’script i els connectors són l’altra meitat. Una directriu que executa una ordre en connectar, o un connector carregat al procés del client, té els teus permisos i cap de l’aïllament del client. Si un perfil que no has demanat en conté un, és una pregunta per a qui te l’ha enviat.

Cap de les dues categories no és automàticament hostil. Els desplegaments corporatius fan servir les dues. El punt és que cadascuna requereix una explicació que puguis comprovar.

Verifica la procedència i després introdueix el secret

Estableix qui ha emès el fitxer per un canal en què ja confies, no pel missatge que l’ha lliurat. Compara les dades del punt final i del certificat amb la documentació publicada per l’operador. Si un perfil ha arribat sense demanar-lo, obtén-ne un de nou directament de l’operador en lloc de reparar la còpia que t’han donat. Pregunta quina versió de client admet l’operador, perquè un altre client pot interpretar el mateix fitxer de manera diferent.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

No posis mai una contrasenya en un camp no explicat per veure si funciona, i no acceptis mai una petició de privilegis desconeguda només per acabar una importació. Una connexió correcta demostra que el punt final ha respost, i res més.

Elimina la còpia importada, no la descàrrega

Els clients copien el perfil al seu propi magatzem, així que esborrar el fitxer descarregat deixa la connexió importada activa. Elimina-la des de la interfície del mateix client i comprova que també ha desaparegut qualsevol certificat afegit durant la importació. Després confirma que les rutes que va instal·lar també han desaparegut.

Si s’ha instal·lat un certificat a escala de sistema, eliminar el perfil no n’hi ha prou. Aquesta neteja pertany a la gestió de confiança de la plataforma, i val la pena fer-la deliberadament en lloc d’esperar que la propera reiniciada se n’encarregui.