Mae VPN anniogel yn dair ffin ar wahân, nid un

Mae «Nid wyf yn ymddiried yn y VPN hwn» fel arfer yn dair datganiad wedi’u gwisgo mewn un frawddeg. Gall cymheiriaid o bell ar y rhwydwaith hwnnw gyrraedd gwasanaethau ar eich gwesteiwr, gall y gweithredwr sy’n rhedeg y tiwnel weld traffig sy’n mynd drwyddo, a gall y meddalwedd cleient a osodwyd gennych newid polisi rhwydwaith eich peiriant. Y gred sy’n werth ei chywiro yw bod rheol wal dân, peiriant rhithwir neu ddewis gofalus o system weithredu yn ateb y tair. Mae pob mesur yn ateb un yn union.

Y chwedl: mae un rheolydd yn cwmpasu’r risg gyfan

Y dybiaeth gyffredin yw bod ymuno â rhwydwaith anniogel yn un penderfyniad ag un lliniarydd. Mae pobl yn dewis y rheolydd y maent eisoes yn ymddiried ynddo, yn ei gymhwyso, ac yn ystyried y risg wedi’i setlo: mae’r wal dân ymlaen, mae’r gweithle yn dafladwy, daw’r cleient oddi wrth werthwr parchus.

Nid yw’r rheolyddion hyn yn gorgyffwrdd fel y mae’r dybiaeth yn ei awgrymu. Mae wal dân gwesteiwr yn cyfyngu ar yr hyn y gall cymheir o bell ei gyrraedd, ac nid yw’n gwneud dim ynghylch gweithredwr sy’n terfynu eich TLS. Mae peiriant rhithwir yn gwahanu gweithle oddi wrth ffeiliau eich gwesteiwr, ac nid yw’n gwneud dim ynghylch cydran cleient y caniateir iddi ailffurfweddu’r pentwr rhwydwaith oddi tanynt ill dau. Enwi’r ffin y mae pob rheolydd yn ei chreu mewn gwirionedd yw’r ymarferiad cyfan.

Mae eu gwahanu hefyd yn dweud wrthych pa risg rydych wedi dewis ei derbyn. Mae’r rhan fwyaf o benderfyniadau go iawn yn lliniaru un ffin ac yn goddef un arall, sy’n iawn cyhyd ag y mae’r cofnod newid yn dweud pa un yw pa un.

Beth y gall y cymheir o bell ei gyrraedd mewn gwirionedd

Dechreuwch â gwasanaethau sy’n gwrando. Y rhyngwyneb tiwnel a ystyrir yn eang ddibynadwy oherwydd i’w becynnau gyrraedd yn amgryptiedig yw’r camgymeriad arferol, ac mae’n troi pob gwrandawr lleol yn darged posibl i bawb arall ar y rhwydwaith hwnnw. Mae amgryptio’n amddiffyn y wifren rhwng dau ben; nid yw’n dweud dim am fwriad y cymheir ar y pen arall.

ss -tulpn
sudo nft list ruleset
ip -br addr

Rhwymwch wasanaethau i’r cyfeiriad sydd eu hangen, yn hytrach nag i bob rhyngwyneb, a chaniatewch yn unig y gweithrediadau y mae’r dasg gymeradwy yn gofyn amdanynt. Cadwch anfon ymlaen, pontio a phrosi cymwysiadau yn eglur, oherwydd nid yw dwy atodiad rhwydwaith yn creu llwybr tramwy ar eu pen eu hunain, ond mae rheol procsi yn sicr yn gallu.

Mae gweithle tafladwy cymeradwy yn lleihau’r hyn y gall y rhwydwaith pell ei gyrraedd, ond dim ond pan fo ei ffurfweddiad rhannu yn cyfateb i’r honiad. Mae ffolderi a rennir, integreiddio’r clipfwrdd, asiantau tystlythyrau a sianeli rheoli i gyd yn croesi’r ffin yr oedd y gweithle i fod i’w chreu. Nid yw label y gweithle yn profi dim am ba un o’r rhain sydd ar agor.

Mae pensaernïaeth sero-ymddiriedaeth NIST yn datgan yr egwyddor y tu ôl i hyn i gyd: nid yw lleoliad rhwydwaith yn unig yn rhoi ymddiriedaeth ymhlyg. Mae gan ddilysu adnoddau waith o hyd ar ôl i’r tiwnel gael ei dderbyn, ac felly hefyd y cwestiwn pwy arall sy’n rhannu’r rhwydwaith hwnnw.

Beth y gall y gweithredwr yn y llwybr ei weld

Mae VPN yn symud eich traffig i le gwahanol ar y llwybr; nid yw’n ychwanegu amgryptiad cymhwysiad. Os yw’r darparwr yn terfynu eich TLS, gall y darparwr ddarllen yr hyn y byddai eich porwr wedi’i amddiffyn fel arall, ac nid oes unrhyw reol wal dân lleol yn newid hynny.

Cadwch ddilysu tystysgrifau arferol ar gyfer y gyrchfan go iawn a deallwch lwybr y datryswr a’r metadata, oherwydd gall ymholiad DNS ddatgelu mwy na’r llwyth sy’n dod o’i flaen. Mae metadata yn unig, sef pa gyfeiriadau y cysylltwyd â hwy a phryd, yn aml yn ateb cwestiwn y gweithredwr heb unrhyw angen i ddarllen cynnwys. Dyna pam mae «mae’r traffig yn amgryptiedig» a «mae’r traffig yn breifat» yn honiadau gwahanol.

Os yw’r gwelededd hwnnw’n annerbyniol ar gyfer y dasg, yr ateb yw pensaernïaeth gymeradwy wahanol yn hytrach na mwy o hidlo lleol. Nid yw hidlo lleol yn gallu dileu arsylwr o lwybr y mae’n dal i eistedd arno.

Beth y caniateir i’r cleient lleol ei newid

Dyma’r ffin y mae pobl yn ei cholli, a hon yw’r un sy’n gwneud y ddwy arall yn ddiystyr. Ar Linux mae CAP_NET_ADMIN yn cwmpasu ffurfweddu rhyngwyneb, gweinyddu wal dân a newidiadau llwybr o fewn ei gyd-destun rhwydwaith. Gall meddalwedd sy’n dal y gallu hwnnw ailysgrifennu’r polisi yr ydych newydd ei ysgrifennu.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Mae gofod enw rhwydwaith yn ffin wirioneddol ar gyfer cyflwr rhwydwaith ac yn un wael ar gyfer popeth arall: nid yw’n ynysu’r system ffeiliau na’r storfa dystlythyrau. Triniwch ef fel un haen yn hytrach nag fel cynhwysydd ar gyfer y broblem gyfan.

Cewch y cleient a’i ffurfweddiad o ffynhonnell a gynhelir, adolygwch yr awdurdod y mae’n gofyn amdano, a chadwch gydrannau breintiedig o dan reolaeth gweinyddwr. Gall peiriant rhithwir fod yn rhan o ffin gwerthuso gymwys heb ddod yn ganiatâd i redeg gosodwr heb ei esbonio wrth ymyl tystlythyrau gwerthfawr. Mae’r gosodwr yn rhedeg gyda pha bynnag awdurdod a roddwch iddo, a’r awdurdod hwnnw yw’r ffin.

Ysgrifennwch pa ffin a dderbyniasoch

Gorffennwch â brawddeg sy’n enwi pedair peth: y cod lleol dibynadwy, y mynediad pell a ganiateir, y data cymhwysiad a warchodir, a’r berthynas weithredwr sy’n parhau. Mae’r frawddeg honno’n werth mwy na honiad cyffredinol bod VM, system weithredu neu gynnyrch gwrthfeirws wedi gwneud rhwydwaith gelyniaethus yn ddiogel.

Yna cadarnhewch fod y gweithrediad cul yn gweithio a bod y gwrthodiad gofynnol yn dal o hyd, hyd yn oed ar ôl i’r tiwnel ddisgyn. Nid yw ffin sy’n bodoli dim ond tra bo’r tiwnel i fyny yn ffin a gofnodwyd gennych.

Nid oes prawf yn profi bod pob bregusrwydd yn absennol, ac mae adolygiad sy’n honni fel arall yn gorhoni. Mae’r allbwn gonest yn enwi’r risg weddilliol a’r person a’i derbyniodd.