Kan en VPN inde i en VM skjule trafik fra værten?

Du installerer klienten inde i en virtuel maskine, tunnelen kommer op, og gæstens trafik bliver krypteret. Det er noget værd mod netværket uden for maskinen. Det køber meget mindre mod det styresystem, der kører gæsten, og som kan læse gæstens hukommelse og overvåge dens skærm. Kontrollerne nedenfor adskiller, hvad tunnelen beskytter, fra hvad værten beholder.

Værten læser klartekst, før tunnelen gør

En desktop-hypervisor giver gæsten CPU-tid og kan læse den hukommelse, den skriver, inklusive den side, en browser netop har dekrypteret. Et overvågningsværktøj på værten læser den klartekst uden at angribe chifferen, og en keylogger på samme niveau samler tastetryk, før nogen klient pakker dem ind. Intet af det kræver en brudt VPN, så en ren tunnel kan stå ved siden af en instrumenteret vært.

Hvad den position ikke udleverer, er nøglerne ved den fjerne ende eller indhold, som en anden endpoint beskytter ende-til-ende. Tunnelen holder stadig mod det netværk, den krydser; hullet er lokalt.

Artefakter lever længere end sessionen

Sæt en VirtualBox-gæst på pause, og en .sav-fil med den gemte hukommelsestilstand dukker op ved siden af. VMware efterlader .vmem- og .vmsn-filer under suspendering og snapshots, og Hyper-V-kontrolpunkter lægger .avhdx-differencediske på værtens diskenhed. Ingen af de filer krypteres af gæstens diskkryptering. Værtens sidefil kan også modtage sider, som hypervisoren har skubbet ud, det spor Tails advarer om i sin vejledning om virtualisering. Kontroller, om hypervisoren beholder snapshots, og om værtens swap ligger på en krypteret diskenhed.

Beslut en opbevaringsregel for de filer i stedet for at stole på standarden, som beholder dem, indtil nogen sletter dem. En gæst, der annoncerer en amnestisk session, ændrer intet af dette; værten skriver filen, så værtens politik gælder. Hvis du ikke kan sige, hvor snapshots bor, eller hvem der kan åbne dem, er gæstens design ikke evalueret.

Diskkryptering dækker et snævrere tilfælde

Kryptering af gæstens disk beskytter et image i ro, en diskenhed båret til en anden maskine eller en backup, der slipper ud. Det gør intet, mens gæsten kører, fordi hypervisoren læser hukommelsen, efter at gæsten har dekrypteret den. Behandl adgangsfrasen som beskyttelse af gemte kopier, ikke som et skjold mod maskinen, der udfører VM'en.

Nøgler og levende udførelse er separate spørgsmål. I et hostet eller delt miljø kan udbyderen holde image-nøglerne, mens gæsten kører på hardware, du aldrig inspicerer, så notér begge svar.

Transporten er ikke den samme visning

En, der bærer gæstens tunnel, ser de ydre endpoints, timingen og volumen, selv når nyttelasten forbliver lukket. Metadata af den form besvarer ofte det spørgsmål, observatøren faktisk har, så behandl det som en del af eksponeringen frem for støj. Adaptertilstand og routing afgør, om VPN-regler på værtsniveau overhovedet rammer gæstens trafik.

Test det inde fra gæsten, ikke fra en browser på værten. En værtsbrowser kan være dækket, mens gæsten er broet direkte ud, og de to kan dele en forbindelse, mens de bruger forskellige ruter. Notér adaptertilstanden, og se derefter på en optagelse på værtens fysiske interface i stedet for at stole på en antagelse.

Skær krydsningerne ned, skriv så journalen

Kør gæsten på hardware, du kontrollerer, hold hypervisoren patchet, og aktivér delte mapper, udklipsholder-deling og træk-og-slip kun der, hvor arbejdet har brug for dem. Hver af dem er en kanal mellem vært og gæst, og standardindstillingen er normalt mere åben, end opgaven kræver. Slå de gæstetilføjelser fra, du ikke bruger, og bekræft derefter, at indstillingerne overlever en genstart, fordi en opgradering kan gendanne det, du slog fra.

Disse trin indsnævrer krydsningerne; de gør ikke gæsten til en separat fysisk tillidsgrænse. At behandle en hærdet VM som en er, hvor risikovurderinger normalt går galt.

Til følsomt arbejde, notér hvordan trafikken routes, og hvilke lokale systemer der kører og beholder arbejdsbyrden. Tilføj hvem der kontrollerer værten, og hvilke filer der overlever sessionen. Et privatlivsnotat, der kun lister tunnelen, beskriver halvdelen af arrangementet.