Hvad en videregivet VPN-profil kan ændre på din enhed

Når du giver din klient en VPN-profil, giver du den konfiguration skrevet af en anden, som programmet derefter udfører på din maskine. Import kan ændre, hvor den dækkede trafik går hen, hvilket modpart din enhed stoler på, og i nogle formater hvilke lokale programmer der kører, når tunnelen kommer op. Filen er ikke et bogmærke; den er et lille program i et deklarativt format.

Læs den, som du ville læse et shell-script fra samme kilde.

Det er klienten, der fortolker den, ikke dig

Hvert felt i filen er en instruks til en bestemt klient. Endepunktet og protokollen afgør, hvor tunnelen går hen, autentificeringsblokken afgør, hvilken hemmelighed der kræves, og rutepolitikkerne afgør, hvad der kommer ind i den. Certifikater eller en privat nøgle kan være indlejret som blokke i stedet for at blive refereret som filer, og derfor bærer en enkelt tekstfil nogle gange alt, hvad der skal til for at udgive sig for at være dig over for en gateway. Netop den egenskab gør tilfældig fildeling så farlig.

OpenVPN-profiler kan også bære scriptkroge, plugin-stier og et sikkerhedsniveau, der afgør, om disse kroge må køre. Den kombination er det, der gør en ukendt profil værd at læse linje for linje i stedet for at dobbeltklikke på den. Klienten gør præcis, hvad filen siger, og den gør det med dine rettigheder.

Ruteændringer er synlige efter én forbindelse

En full-tunnel-profil installerer ruter, der sender alt gennem gatewayen, mens en split-tunnel-profil kun sender udvalgte præfikser. Nogle profiler skubber også en DNS-server, hvilket stille ændrer, hvem der ser dine forespørgsler. Intet af det er ondsindet i sig selv, og intet af det er tydeligt ud fra filnavnet.

Sammenlign rutetabellen før og efter den første forbindelse, og du ser hensigten med et blik. En profil, der annonceres som adgang til én intern applikation, men installerer en bredere standardrute, fortæller dig noget om sin forfatter.

Tillidsmateriale og kroge bærer den reelle vægt

En profil kan give VPN-klienten tillidsoplysninger, og en platformkonfigurationspakke kan gå videre og installere et certifikat eller en rod i et systemlager. Det er forskellige områder med forskellige konsekvenser. Tilfældet i klientens område påvirker valideringen i én applikation; tilfældet på systemniveau påvirker alt, der bruger platformens tillidslager.

Scriptkroge og plugins er den anden halvdel. Et direktiv, der kører en kommando ved forbindelse, eller et plugin indlæst i klientprocessen, har dine tilladelser og intet af klientens sandboxing. Hvis en profil, du ikke bad om, indeholder en, er det et spørgsmål til den person, der sendte den.

Ingen af de to kategorier er automatisk fjendtlig. Virksomhedsudrulninger bruger begge. Pointen er, at hver især kræver en forklaring, du kan kontrollere.

Verificér oprindelsen, og indtast så hemmeligheden

Fastslå, hvem der udstedte filen, gennem en kanal, du allerede stoler på, ikke gennem den besked, der leverede den. Sammenlign endepunktets og certifikatets detaljer med operatørens offentliggjorte dokumentation. Hvis en profil ankom uopfordret, så skaf en ny direkte fra operatøren i stedet for at reparere den kopi, du fik. Spørg, hvilken klientversion operatøren understøtter, fordi den samme fil kan fortolkes anderledes af en anden klient.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Anbring aldrig en adgangskode i et uforklaret felt for at se, om den virker, og accepter aldrig en ukendt rettighedsanmodning bare for at afslutte en import. En vellykket forbindelse beviser, at endepunktet svarede, intet mere.

Fjern den importerede kopi, ikke downloadet

Klienter kopierer en profil til deres eget lager, så sletning af den downloadede fil efterlader den importerede forbindelse aktiv. Fjern den via klientens eget interface, og kontrollér, at ethvert certifikat, der blev tilføjet under importen, også er væk. Bekræft derefter, at de ruter, den installerede, også er væk.

Hvis et certifikat blev installeret på systemniveau, er det ikke nok at fjerne profilen. Den oprydning hører til platformens tillidsstyring, og den er værd at gøre bevidst i stedet for at håbe på, at den næste genstart klarer det.