Kann ein VPN in einer VM den Datenverkehr vor dem Host verbergen?

Sie installieren den Client in einer virtuellen Maschine, der Tunnel kommt hoch, und der Verkehr des Gasts wird verschlüsselt. Das ist etwas wert gegen das Netzwerk außerhalb der Maschine. Gegen das Betriebssystem, das den Gast ausführt, bringt es viel weniger, denn es kann den Speicher des Gasts lesen und seinen Bildschirm beobachten. Die folgenden Prüfungen trennen, was der Tunnel schützt, von dem, was der Host behält.

Der Host liest Klartext, bevor der Tunnel es tut

Ein Desktop-Hypervisor gibt dem Gast CPU-Zeit und kann den Speicher lesen, den er schreibt, einschließlich der Seite, die ein Browser gerade entschlüsselt hat. Ein Überwachungswerkzeug auf dem Host liest diesen Klartext, ohne die Verschlüsselung anzugreifen, und ein Keylogger auf derselben Ebene sammelt Tastenanschläge, bevor ein Client sie einpackt. Nichts davon braucht ein kaputtes VPN, sodass ein sauberer Tunnel neben einem instrumentierten Host stehen kann.

Was diese Position nicht herausgibt, sind die Schlüssel des fernen Endes oder Inhalte, die ein anderer Endpunkt Ende zu Ende schützt. Der Tunnel hält weiterhin gegen das Netzwerk, das er durchquert; die Lücke ist lokal.

Artefakte überleben die Sitzung

Pausieren Sie einen VirtualBox-Gast, und daneben erscheint eine .sav-Datei mit dem gespeicherten Speicherzustand. VMware hinterlässt beim Suspendieren und bei Snapshots .vmem- und .vmsn-Dateien, und Hyper-V-Prüfpunkte lassen .avhdx-Differenzierungsdatenträger auf dem Host-Volume wachsen. Keine dieser Dateien wird durch die Datenträgerverschlüsselung des Gasts verschlüsselt. Die Auslagerungsdatei des Hosts kann außerdem Seiten aufnehmen, die der Hypervisor hinausgedrängt hat, die Spur, vor der Tails in seiner Virtualisierungsanleitung warnt. Prüfen Sie, ob der Hypervisor Snapshots behält und ob der Swap des Hosts auf einem verschlüsselten Volume liegt.

Legen Sie eine Aufbewahrungsregel für diese Dateien fest, statt der Voreinstellung zu vertrauen, die sie behält, bis jemand sie löscht. Ein Gast, der eine amnestische Sitzung bewirbt, ändert daran nichts; der Host schreibt die Datei, also gilt die Richtlinie des Hosts. Wenn Sie nicht sagen können, wo die Snapshots liegen oder wer sie öffnen kann, ist das Design des Gasts nicht bewertet.

Datenträgerverschlüsselung deckt einen engeren Fall ab

Die Verschlüsselung der Gastfestplatte schützt ein ruhendes Image, ein auf eine andere Maschine getragenes Volume oder eine Sicherung, die entkommt. Sie tut nichts, während der Gast läuft, weil der Hypervisor den Speicher liest, nachdem der Gast ihn entschlüsselt hat. Behandeln Sie die Passphrase als Schutz für gespeicherte Kopien, nicht als Schild gegen die Maschine, die die VM ausführt.

Schlüssel und lebende Ausführung sind getrennte Fragen. In einer gehosteten oder geteilten Umgebung kann der Anbieter die Image-Schlüssel halten, während der Gast auf Hardware läuft, die Sie nie prüfen, also halten Sie beide Antworten fest.

Der Transport ist nicht dieselbe Sicht

Wer den Tunnel des Gasts trägt, sieht die äußeren Endpunkte, das Timing und das Volumen, selbst wenn die Nutzlast geschlossen bleibt. Metadaten dieser Form beantworten oft die Frage, die der Beobachter tatsächlich hat, behandeln Sie sie also als Teil der Exposition und nicht als Rauschen. Adaptermodus und Routing entscheiden, ob VPN-Regeln auf Host-Ebene den Verkehr des Gasts überhaupt berühren.

Testen Sie das aus dem Gast heraus, nicht aus einem Browser auf dem Host. Ein Host-Browser kann abgedeckt sein, während der Gast direkt hinaus gebrückt ist, und beide können eine Verbindung teilen und dabei verschiedene Routen nutzen. Notieren Sie den Adaptermodus und prüfen Sie dann eine Aufzeichnung auf der physischen Schnittstelle des Hosts, statt einer Annahme zu vertrauen.

Verengen Sie die Übergänge, dann schreiben Sie den Befund

Führen Sie den Gast auf Hardware aus, die Sie kontrollieren, halten Sie den Hypervisor gepatcht, und aktivieren Sie gemeinsame Ordner, Zwischenablage-Freigabe und Drag-and-drop nur dort, wo die Arbeit sie braucht. Jeder davon ist ein Kanal zwischen Host und Gast, und die ausgelieferte Voreinstellung ist meist offener, als die Aufgabe verlangt. Schalten Sie die Gastzusätze ab, die Sie nicht nutzen, und bestätigen Sie dann, dass die Einstellungen einen Neustart überstehen, weil ein Upgrade wiederherstellen kann, was Sie deaktiviert haben.

Diese Schritte verengen die Übergänge; sie machen den Gast nicht zu einer separaten physischen Vertrauensgrenze. Eine gehärtete VM als eine solche zu behandeln, ist der Punkt, an dem Risikobewertungen üblicherweise falsch liegen.

Für sensible Arbeiten halten Sie fest, wie der Verkehr geroutet wird und welche lokalen Systeme die Arbeitslast ausführen und behalten. Ergänzen Sie, wer den Host kontrolliert und welche Dateien die Sitzung überleben. Eine Datenschutznotiz, die nur den Tunnel auflistet, beschreibt die Hälfte der Anordnung.