Ffeiliau OVPN anghyfarwydd: risg leol ac ymddiriedaeth o bell

Triniwch ffeil OVPN fel mewnbwn i raglen, nid fel tystysgrif bod ei chynnwys yn ddiniwed. Mae gwirio cyfeiriad y gweinydd yn ateb dim ond i ble y mae’r proffil eisiau cysylltu, ac nid dim arall. Mae dau benderfyniad ymddiriedaeth ar wahân y tu mewn i’r ffeil honno: beth y caiff y cleient ei wneud ar eich peiriant, a pha weithredwr sy’n derbyn y traffig. Nid yw enw protocol cyfarwydd yn setlo’r un ohonynt.

Mae dau benderfyniad yn cuddio mewn un ffeil

Mae’r penderfyniad cyntaf yn lleol. Iaith ffurfweddu yw’r proffil, ac efallai y bydd y cleient sy’n ei darllen yn cefnogi cyfarwyddebau sy’n llwytho ategyn, yn rhedeg sgript neu’n newid sut y gweithredir llwybro a DNS. Mae’r ail benderfyniad yn bell. Beth bynnag sydd yn y ffeil, mae’r gweithredwr allanfa yn gweld y traffig sy’n cyrraedd ato.

Mae cymysgu’r ddau yn cynhyrchu cyngor gwael i’r ddau gyfeiriad: proffil sy’n edrych yn lân gan weithredwr anhysbys, neu broffil gweithredwr adnabyddus gyda bachyn na ddarllenodd neb. Gall proffil sy’n ddiogel yn lleol roi eich traffig i rywun na fyddech yn ei ddewis o hyd.

Darllenwch y proffil cyn i unrhyw gleient wneud hynny

Darllenwch y ffeil fel testun cyn i unrhyw gleient ei phrosesu. Chwiliwch am gyfarwyddebau sy’n pwyntio y tu allan i’r ffeil, yn cyfeirio at raglenni gweithredu neu’n newid breintiau, a chymharwch y rhestr honno â chefnogaeth ddogfenedig y cleient. Nid yw chwiliad byr yn archwiliad diogelwch, ond mae’n dweud wrthych a yw’r proffil yn rhestr gweinyddion neu’n rhywbeth mwy.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Mae canlyniad gwag yn gysur ac nid yn bendant, oherwydd gall opsiynau ryngweithio neu gael eu cyflenwi gan ffeil gynwysedig. Triniwch y rhestr wedi’i hidlo fel rheswm i barhau i ddarllen, nid fel barn.

Mae’r cyfarwyddiadau sy’n dod gyda’r proffil yn haeddu’r un archwiliad â’r proffil. Dylai pedair cais eich atal: galluogi sgriptiau, gosod cynorthwyydd neu lyfrgell, rhedeg y cleient fel gweinyddwr, neu wanhau cyfyngiad mewngludo. Mae pob un yn symud y ffin ymddiriedaeth tuag allan, ac nid yw’r un ohonynt yn rhan gyffredin o fewngludo rhestr gweinyddion.

Darllenwch y ffeil gyfan unwaith hefyd, oherwydd mae un llinell anghyfarwydd yn haws ei barnu mewn cyd-destun nag mewn rhestr wedi’i hidlo. Os yw llinell yn anghyfarwydd, chwiliwch amdani yn llawlyfr eich cleient yn hytrach na dyfalu.

Beth fydd y cleient yn ei weithredu mewn gwirionedd

Mae llawlyfr 2.6 Community OpenVPN yn dogfennu ysgol script-security: lefel 1 yw’r rhagosodiad ac mae’n blocio sgriptiau a ddiffinnir gan y defnyddiwr, tra bo lefel 2 yn eu caniatáu. Mae llwytho ategion yn gyfleuster ar wahân gyda’i gyfarwyddeb ei hun. Dyna pam y gall yr un ffeil olygu gwahanol bethau mewn gwahanol gleientiaid. Gall cleientiaid symudol a chleientiaid gwerthwyr dderbyn set gulach o gyfarwyddebau, neu ddim un o’r bachau.

Mae’r dull lansio yr un mor bwysig â’r cleient. Gall proffil a gychwynnir gan gynorthwyydd breintiedig wneud mwy nag un a gychwynnir yn y gofod defnyddiwr, ac mae’r gwahaniaeth hwnnw’n rheswm dros ddarllen yr anogwr mewngludo yn hytrach na’i ddiystyru.

Mae’r fersiwn yn bwysig hefyd, oherwydd diffinnir y lefelau hyn fesul rhyddhau ac efallai na fydd cleient sawl fersiwn y tu ôl yn gweithredu’r un polisi. Darllenwch y llawlyfr sy’n cyfateb i’r adeiladwaith rydych yn ei redeg, nid yr un diweddaraf y gallwch ddod o hyd iddo. Os nad yw’r cleient yn dangos llinyn fersiwn yn unman, mae hynny’n rheswm digonol dros arafu.

Cymharwch y gweithredwr, nid y cyfeiriad yn unig

Cymharwch weithredwyr fel y byddech yn cymharu unrhyw gyfryngwr arall. Gofynnwch pwy sy’n rhedeg yr allanfa, beth maent yn ei gofnodi, a sut y cyrhaeddodd y proffil atoch. Mae tudalen lawrlwytho wedi’i dilysu a chyfrwybyddiaeth sy’n cyfateb yn dweud mwy nag enw gwesteiwr cyfarwydd. Nid yw gweinydd cyrraeddadwy yn profi dim ond bod rhywbeth wedi ateb.

Y manylion mewngofnodi yw’r rhan y mae pobl yn ei chael yn anghywir o dan bwysau. Peidiwch â theipio cyfrinair cyfrif anghysylltiedig mewn proffil a lawrlwythwyd oherwydd bod enw ei weinydd yn edrych yn gyfarwydd. Gall proffil hefyd gario allwedd breifat yn agored, felly mae postio’r ffeil gyfan mewn edefyn adolygu yn rhoi’r allwedd honno i’r edefyn.

Mae sesiwn HTTPS a ddilyswyd yn iawn yn dal i guddio cynnwys y dudalen rhag unrhyw un sy’n anfon pecynnau ymlaen yn unig, felly nid yw’r allanfa yn gweld pob cyfrinair yn awtomatig. Mae’n gweld pa safleoedd rydych yn eu cyrraedd, ac mae’r ffin honno’n werth ei nodi’n fanwl gywir yn hytrach na gorliwio.

Lle mae tarddiad y ffeil yn aros yn aneglur, neu lle nad oes gan fraint y mae’n ei gofyn esboniad y gallwch ei dderbyn, disodlwch y proffil ag un o ffynhonnell y gellir ei dal yn gyfrifol. Ar gysylltiad gwaith a reolir, dylai’r gweinyddwr gymeradwyo’r cleient a’r ffurfweddiad fel un penderfyniad yn hytrach na dau. Nid oes unrhyw beth yma’n gofyn i chi brofi malais yn gyntaf; mae gwrthod mynediad yn ateb dilys.