Co může předaný profil VPN změnit ve vašem zařízení

Když svému klientovi předáte profil VPN, předáte mu konfiguraci napsanou někým jiným, kterou pak tento program spouští na vašem počítači. Jeho import může změnit, kam proudí pokrytý provoz, kterému protějšku vaše zařízení důvěřuje a v některých formátech i to, které místní programy se spustí při navázání tunelu. Soubor není záložka; je to malý program v deklarativním formátu.

Čtěte ho tak, jako byste četli skript příkazové řádky ze stejného zdroje.

Vykládá ho klient, ne vy

Každé pole v souboru je pokyn pro konkrétního klienta. Koncový bod a protokol určují, kam tunel vede, blok ověřování určuje, jaké tajemství se vyžaduje, a direktivy tras určují, co do něj vstoupí. Certifikáty nebo soukromý klíč mohou být vloženy jako bloky místo odkazů na soubory, a proto jeden textový soubor někdy nese vše, co je potřeba k tomu, aby se někdo vydával za vás vůči bráně. Právě tato vlastnost dělá běžné sdílení souborů tak nebezpečným.

Profily OpenVPN mohou také nést skriptové háky, cesty k zásuvným modulům a úroveň zabezpečení, která určuje, zda se tyto háky smějí spouštět. Právě tato kombinace dělá z neznámého profilu něco, co stojí za čtení řádek po řádku místo dvojkliku. Klient udělá přesně to, co soubor říká, a udělá to s vašimi oprávněními.

Změny směrování jsou vidět po jednom připojení

Profil plného tunelu instaluje trasy, které posílají vše přes bránu, zatímco profil rozděleného tunelu posílá jen vybrané prefixy. Některé profily také protlačí server DNS, což tiše mění, kdo vidí vaše dotazy. Nic z toho není samo o sobě zlomyslné a nic z toho není z názvu souboru zřejmé.

Porovnejte směrovací tabulku před prvním připojením a po něm a záměr uvidíte na první pohled. Profil inzerovaný jako přístup k jedné interní aplikaci, který však instaluje širší výchozí trasu, vám o svém autorovi něco říká.

Materiál důvěry a háky nesou skutečnou váhu

Profil může klientovi VPN dodat informace o důvěře a konfigurační balíček platformy může jít dál a nainstalovat certifikát nebo kořen do systémového úložiště. To jsou různé rozsahy s různými důsledky. Případ v rozsahu klienta ovlivňuje ověřování jedné aplikace; případ v systémovém rozsahu ovlivňuje vše, co používá úložiště důvěry platformy.

Skriptové háky a zásuvné moduly jsou druhá polovina. Direktiva, která při připojení spustí příkaz, nebo modul načtený do procesu klienta, má vaše oprávnění a nic z izolace klienta. Pokud profil, který jste si nevyžádali, něco takového obsahuje, je to otázka na člověka, který vám ho poslal.

Ani jedna z obou kategorií není automaticky nepřátelská. Firemní nasazení používají obě. Podstatné je, že každá vyžaduje vysvětlení, které můžete ověřit.

Ověřte původ, potom zadejte tajemství

Zjistěte, kdo soubor vydal, kanálem, kterému už důvěřujete, ne přes zprávu, která ho doručila. Porovnejte údaje o koncovém bodu a certifikátu se zveřejněnou dokumentací provozovatele. Pokud profil dorazil nevyžádaný, získejte nový přímo od provozovatele, místo abyste opravovali kopii, kterou jste dostali. Zeptejte se, kterou verzi klienta provozovatel podporuje, protože stejný soubor může jiný klient vyložit odlišně.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nikdy nevkládejte heslo do nevysvětleného pole, abyste zjistili, zda funguje, a nikdy nepřijměte neznámý požadavek na oprávnění jen proto, abyste dokončili import. Úspěšné připojení dokazuje, že koncový bod odpověděl, nic víc.

Odstraňte importovanou kopii, ne stažený soubor

Klienti kopírují profil do vlastního úložiště, takže smazáním staženého souboru zůstává importované připojení aktivní. Odstraňte ho přes vlastní rozhraní klienta a zkontrolujte, zda zmizel i certifikát přidaný během importu. Potom potvrďte, že zmizely i trasy, které nainstaloval.

Pokud byl certifikát nainstalován v systémovém rozsahu, odstranění profilu nestačí. Toto čištění patří ke správě důvěry platformy a stojí za to ho udělat vědomě, místo abyste doufali, že ho vyřeší příští restart.