Ukendte OVPN-filer: lokal risiko og fjern tillid

Behandl en OVPN-fil som input til et program, ikke som et bevis på, at indholdet er uskadeligt. At kontrollere serveradressen besvarer kun, hvor profilen vil forbinde hen, og intet andet. To adskilte tillidsbeslutninger ligger i den fil: hvad klienten må gøre på din maskine, og hvilken operatør der modtager trafikken. Et velkendt protokolnavn afgør ingen af dem.

To beslutninger gemmer sig i én fil

Den første beslutning er lokal. Profilen er et konfigurationssprog, og den klient, der læser den, kan understøtte direktiver, som indlæser et plugin, kører et script eller ændrer, hvordan routing og DNS anvendes. Den anden beslutning er fjern. Uanset hvad filen indeholder, ser udgangsoperatøren den trafik, der når den.

At blande de to giver dårligt råd i begge retninger: en ren profil fra en ukendt operatør eller en kendt operatørs profil med en hook, som ingen har læst. En profil, der er sikker lokalt, kan stadig give din trafik til en, du ikke ville vælge.

Læs profilen, før nogen klient gør det

Læs filen som tekst, før nogen klient behandler den. Se efter direktiver, der peger uden for filen, henviser til programmer eller ændrer privilegier, og sammenlign den liste med klientens dokumenterede understøttelse. En kort søgning er ikke en sikkerhedsrevision, men den fortæller, om profilen er en serverliste eller noget mere.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Et tomt resultat er betryggende og ikke afgørende, fordi indstillinger kan påvirke hinanden eller leveres af en inkluderet fil. Betragt den filtrerede liste som en grund til at læse videre, ikke som en dom.

De instrukser, der følger med profilen, fortjener samme granskning som profilen. Fire anmodninger bør standse dig: aktivér scripts, installér en hjælper eller et bibliotek, kør klienten som administrator, eller svækk en importbegrænsning. Hver af dem flytter tillidsgrænsen udad, og ingen af dem er en almindelig del af at importere en serverliste.

Læs også hele filen igennem én gang, fordi én ukendt linje er lettere at vurdere i kontekst end i en filtreret liste. Hvis en linje er ukendt, slå den op i manualen til din klient i stedet for at gætte.

Hvad klienten faktisk vil eksekvere

Manualen til 2.6 Community OpenVPN dokumenterer script-security-trappen: niveau 1 er standard og blokerer brugerdefinerede scripts, mens niveau 2 tillader dem. Indlæsning af plugins er en særskilt facilitet med sit eget direktiv. Derfor kan samme fil betyde forskellige ting i forskellige klienter. Mobile klienter og leverandørklienter accepterer måske et snævrere sæt direktiver eller slet ingen af hookene.

Startmetoden betyder lige så meget som klienten. En profil, der startes af en privilegeret hjælper, kan mere end en, der startes i brugerens område, og den forskel er en grund til at læse importmeddelelsen i stedet for at afvise den.

Versionen betyder også noget, fordi disse niveauer defineres pr. udgivelse, og en klient flere versioner bagud implementerer måske ikke samme politik. Læs den manual, der svarer til det build, du kører, ikke den nyeste, du kan finde. Hvis klienten ikke viser en versionsstreng nogen steder, er det allerede en grund til at sætte tempoet ned.

Sammenlign operatøren, ikke bare adressen

Sammenlign operatører, som du sammenligner enhver anden mellemmand. Spørg, hvem der driver udgangen, hvad de logger, og hvordan profilen nåede dig. En verificeret downloadside og et matchende fingeraftryk siger mere end et kendt værtsnavn. En server, der kan nås, beviser kun, at noget svarede.

Loginoplysninger er den del, folk får forkert under pres. Skriv ikke en urelateret kontos adgangskode i en downloadet profil, fordi servernavnet ser bekendt ud. En profil kan også bære en privat nøgle i klartekst, så hvis du poster hele filen i en anmeldelsestråd, giver du den nøgle til tråden.

En korrekt valideret HTTPS-session skjuler stadig sideindhold for enhver, der blot videresender pakker, så udgangen ser ikke automatisk hver adgangskode. Den ser til gengæld, hvilke websteder du når, og den grænse er værd at beskrive præcist i stedet for at overdrive.

Hvor filens oprindelse forbliver uklar, eller et privilegium, den beder om, ikke har en forklaring, du kan acceptere, skal du erstatte profilen med en fra en kilde, der kan drages til ansvar. På en administreret arbejdsforbindelse bør administratoren godkende klienten og konfigurationen som én beslutning, ikke to. Intet her kræver, at du først beviser ondskab; at afslå adgang er et legitimt svar.