Neznámé soubory OVPN: místní riziko a vzdálená důvěra

Berte soubor OVPN jako vstup pro program, ne jako potvrzení, že jeho obsah je neškodný. Kontrola adresy serveru odpovídá jen na to, kam se profil chce připojit, a nic jiného. Uvnitř toho souboru jsou dvě oddělená rozhodnutí o důvěře: co smí klient dělat na vašem počítači a který operátor dostává provoz. Známé jméno protokolu nevyřeší ani jedno.

V jednom souboru se skrývají dvě rozhodnutí

První rozhodnutí je místní. Profil je konfigurační jazyk a klient, který ho čte, může podporovat direktivy, jež načítají zásuvný modul, spouštějí skript nebo mění způsob uplatnění směrování a DNS. Druhé rozhodnutí je vzdálené. Ať soubor obsahuje cokoli, výstupní operátor vidí provoz, který k němu dorazí.

Záměna obou vede ke špatné radě v obou směrech: čistě vypadající profil od neznámého operátora, nebo profil známého operátora s hákem, který nikdo nečetl. Profil, který je místně bezpečný, může stále předat váš provoz někomu, koho byste si nevybrali.

Přečtěte si profil dřív, než to udělá jakýkoli klient

Přečtěte soubor jako text, než ho jakýkoli klient zpracuje. Hledejte direktivy, které odkazují mimo soubor, zmiňují spustitelné soubory nebo mění oprávnění, a porovnejte tento seznam s dokumentovanou podporou klienta. Krátké hledání není bezpečnostní audit, ale řekne vám, zda je profil seznamem serverů, nebo něčím víc.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Prázdný výsledek je uklidňující a není průkazný, protože volby mohou spolupůsobit nebo je může dodat vložený soubor. Berte filtrovaný seznam jako důvod číst dál, ne jako verdikt.

Pokyny, které k profilu přicházejí, si zaslouží stejnou pozornost jako profil. Čtyři žádosti by vás měly zastavit: povolit skripty, nainstalovat pomocníka nebo knihovnu, spustit klienta jako správce nebo oslabit omezení importu. Každá z nich posouvá hranici důvěry ven a žádná není běžnou součástí importu seznamu serverů.

Přečtěte také celý soubor najednou, protože jediný neznámý řádek se v kontextu posuzuje snáz než ve filtrovaném seznamu. Pokud je řádek neznámý, vyhledejte ho v manuálu pro svého klienta, místo abyste hádali.

Co klient skutečně spustí

Manuál 2.6 Community OpenVPN dokumentuje stupně script-security: úroveň 1 je výchozí a blokuje uživatelsky definované skripty, zatímco úroveň 2 je povoluje. Načítání zásuvných modulů je samostatný mechanismus s vlastní direktivou. Proto může tentýž soubor znamenat v různých klientech různé věci. Mobilní klienti a klienti výrobců mohou přijmout užší sadu direktiv, nebo žádné z háčků.

Způsob spuštění je stejně důležitý jako klient. Profil spuštěný privilegovaným pomocníkem může udělat víc než ten spuštěný v uživatelském prostoru, a ten rozdíl je důvod číst výzvu k importu, místo abyste ji odmávli.

Na verzi také záleží, protože tyto úrovně jsou definovány pro každé vydání a klient o několik verzí pozadu nemusí stejnou politiku implementovat. Čtěte manuál, který odpovídá sestavení, jež používáte, ne nejnovější, který najdete. Pokud klient nikde neukazuje řetězec verze, je to už důvod zpomalit.

Porovnejte operátora, ne jen adresu

Operátory porovnávejte tak, jak porovnáváte jakéhokoli jiného prostředníka. Ptejte se, kdo provozuje výstup, co zaznamenávají a jak se profil dostal k vám. Ověřená stránka ke stažení a odpovídající otisk řeknou víc než známé jméno hostitele. Dostupný server dokazuje jen to, že něco odpovědělo.

Přihlašovací údaje jsou část, ve které lidé pod tlakem chybují. Nezadávejte heslo nesouvisejícího účtu do staženého profilu jen proto, že jméno serveru vypadá povědomě. Profil může také nést soukromý klíč v otevřené podobě, takže zveřejnění celého souboru ve vlákně s recenzí předá ten klíč vláknu.

Správně ověřená relace HTTPS stále skrývá obsah stránky před každým, kdo jen přeposílá pakety, takže výstup automaticky nevidí každé heslo. Vidí ale, které stránky navštěvujete, a tuto hranici je lepší popsat přesně než ji přehánět.

Tam, kde původ souboru zůstává nejasný nebo oprávnění, které žádá, nemá vysvětlení, jež můžete přijmout, nahraďte profil profilem ze zdroje, který lze volat k odpovědnosti. Na řízeném pracovním připojení by administrátor měl schválit klienta i konfiguraci jako jedno rozhodnutí, ne dvě. Nic tu nevyžaduje, abyste nejdřív prokázali zlý úmysl; odmítnutí přístupu je legitimní odpověď.