Může VPN ve virtuálním stroji skrýt provoz před hostitelem?

Nainstalujete klienta do virtuálního stroje, tunel naskočí a provoz hosta se zašifruje. To má určitou cenu proti síti mimo stroj. Mnohem méně ale zmůže proti operačnímu systému, který hosta spouští, protože ten může číst paměť hosta a sledovat jeho obrazovku. Následující kontroly oddělují, co tunel chrání, od toho, co si hostitel ponechává.

Hostitel čte otevřený text dřív než tunel

Desktopový hypervizor dává hostovi procesorový čas a může číst paměť, kterou zapisuje, včetně stránky, kterou prohlížeč právě dešifroval. Nástroj pro sledování na hostiteli čte tento otevřený text, aniž by útočil na šifru, a keylogger na stejné úrovni sbírá stisky kláves dřív, než je jakýkoli klient zabalí. Nic z toho nepotřebuje rozbitý VPN, takže čistý tunel může stát vedle instrumentovaného hostitele.

Co tato pozice nepředává, jsou klíče vzdáleného konce nebo obsah, který chrání jiný koncový bod end to end. Tunel stále drží proti síti, kterou prochází; mezera je lokální.

Artefakty přežijí relaci

Pozastavte hosta VirtualBoxu a vedle se objeví soubor .sav s uloženým stavem paměti. VMware nechává při uspávání a snímcích soubory .vmem a .vmsn a kontrolní body Hyper-V zvětšují rozdílové disky .avhdx na svazku hostitele. Žádný z těchto souborů není zašifrovaný šifrováním disku hosta. Stránkovací soubor hostitele může také přijmout stránky, které hypervizor vytlačil, což je stopa, před kterou varuje Tails ve svém průvodci virtualizací. Zkontrolujte, zda hypervizor uchovává snímky a zda je swap hostitele na šifrovaném svazku.

Pro tyto soubory si určete pravidlo uchovávání, místo abyste věřili výchozímu nastavení, které je drží, dokud je někdo nesmaže. Host, který inzeruje amnestickou relaci, na tom nic nemění; soubor zapisuje hostitel, takže platí politika hostitele. Pokud nedokážete říct, kde snímky žijí a kdo je může otevřít, návrh hosta nebyl vyhodnocen.

Šifrování disku pokrývá užší případ

Zašifrování disku hosta chrání obraz v klidu, svazek přenesený na jiný stroj nebo záložní kopii, která unikne. Nic nedělá, dokud host běží, protože hypervizor čte paměť poté, co ji host dešifroval. Berte přístupovou frázi jako ochranu uložených kopií, ne jako štít proti stroji, který virtuální stroj spouští.

Klíče a živé vykonávání jsou oddělené otázky. V hostovaném nebo sdíleném prostředí může poskytovatel držet klíče obrazu, zatímco hosta spouští na hardwaru, který nikdy neprohlédnete, takže si zapište obě odpovědi.

Transport není stejný pohled

Kdo nese tunel hosta, vidí vnější koncové body, časování a objem, i když datový obsah zůstává zavřený. Metadata tohoto tvaru často odpovídají na otázku, kterou pozorovatel skutečně má, takže je berte jako součást expozice, ne jako šum. Režim adaptéru a směrování rozhodují, zda se pravidla VPN na úrovni hostitele provozu hosta vůbec dotknou.

Otestujte to zevnitř hosta, ne z prohlížeče na hostiteli. Prohlížeč na hostiteli může být pokrytý, zatímco host je přemostěn přímo ven, a oba mohou sdílet jedno připojení a přitom používat různé trasy. Zapište režim adaptéru a pak se podívejte na zachycený provoz na fyzickém rozhraní hostitele, místo abyste věřili předpokladu.

Zmenšete přechody, pak napište záznam

Spouštějte hosta na hardwaru, který ovládáte, udržujte hypervizor aktualizovaný a sdílené složky, schránku a přetahování zapínejte jen tam, kde to práce potřebuje. Každé z nich je kanál mezi hostitelem a hostem a dodávané výchozí nastavení je obvykle otevřenější, než úkol vyžaduje. Vypněte doplňky hosta, které nepoužíváte, a pak potvrďte, že nastavení přežije restart, protože upgrade může obnovit to, co jste vypnuli.

Tyto kroky zužují přechody; nedělají z hosta samostatnou fyzickou hranici důvěry. Právě tam se hodnocení rizik obvykle mýlí, když považuje zpevněný virtuální stroj za takovou hranici.

U citlivé práce si zapište, jak se provoz směruje a které místní systémy zátěž spouštějí a uchovávají. Přidejte, kdo ovládá hostitele a které soubory po relaci zůstanou. Poznámka o soukromí, která uvádí jen tunel, popisuje polovinu uspořádání.