Ein nicht vertrauenswürdiges VPN sind drei getrennte Grenzen, nicht eine

„Ich vertraue diesem VPN nicht“ sind meist drei Aussagen in einem Satz. Die entfernten Peers in diesem Netz könnten Dienste auf Ihrem Host erreichen, der Betreiber, der den Tunnel unterhält, könnte den Verkehr beobachten, der ihn durchläuft, und die installierte Client-Software könnte die Netzwerkrichtlinie Ihres Rechners verändern. Die Überzeugung, die es zu korrigieren gilt, ist, dass eine Firewall-Regel, eine virtuelle Maschine oder eine sorgfältige Wahl des Betriebssystems alle drei beantwortet. Jede Maßnahme beantwortet genau eine davon.

Der Mythos: eine Kontrolle deckt das gesamte Risiko ab

Die verbreitete Annahme ist, dass der Beitritt zu einem nicht vertrauenswürdigen Netz eine einzige Entscheidung mit einer einzigen Gegenmaßnahme ist. Menschen wählen die Kontrolle, der sie bereits vertrauen, wenden sie an und betrachten das Risiko als erledigt: Die Firewall ist aktiv, der Arbeitsbereich ist wegwerfbar, der Client stammt von einem angesehenen Anbieter.

Diese Kontrollen überschneiden sich nicht so, wie die Annahme nahelegt. Eine Host-Firewall beschränkt, was ein entfernter Peer erreichen kann, und sie bewirkt nichts gegen einen Betreiber, der Ihr TLS beendet. Eine virtuelle Maschine trennt einen Arbeitsbereich von Ihren Host-Dateien, und sie bewirkt nichts gegen eine Client-Komponente, die den Netzwerk-Stack unter beiden neu konfigurieren darf. Die Grenze zu benennen, die jede Kontrolle tatsächlich schafft, ist die ganze Übung.

Ihre Trennung sagt Ihnen auch, welches Risiko Sie zu akzeptieren gewählt haben. Die meisten echten Entscheidungen mildern eine Grenze und dulden eine andere, was in Ordnung ist, solange der Änderungsdatensatz sagt, welche welche ist.

Was der entfernte Peer tatsächlich erreichen kann

Beginnen Sie mit lauschenden Diensten. Die Tunnelschnittstelle, die als weithin vertrauenswürdig behandelt wird, weil ihre Pakete verschlüsselt ankommen, ist der übliche Fehler, und sie macht jeden lokalen Listener zu einem möglichen Ziel für alle anderen in diesem Netz. Verschlüsselung schützt die Leitung zwischen zwei Endpunkten; über die Absicht des Peers am anderen Ende sagt sie nichts.

ss -tulpn
sudo nft list ruleset
ip -br addr

Binden Sie Dienste an die Adresse, die sie brauchen, statt an jede Schnittstelle, und erlauben Sie nur die Vorgänge, die die genehmigte Aufgabe erfordert. Halten Sie Weiterleitung, Bridging und Anwendungs-Proxying explizit, denn zwei Netzwerkanbindungen erzeugen für sich genommen keinen Transitpfad, eine Proxy-Regel aber durchaus.

Ein genehmigter wegwerfbarer Arbeitsbereich verringert, was das entfernte Netz erreichen kann, aber nur, wenn seine Freigabekonfiguration der Behauptung entspricht. Geteilte Ordner, Zwischenablage-Integration, Anmeldeinformations-Agenten und Verwaltungskanäle überschreiten alle die Grenze, die der Arbeitsbereich schaffen sollte. Ein Arbeitsbereich-Etikett beweist nichts darüber, welche davon offen sind.

NISTs Zero-Trust-Architektur formuliert das Prinzip hinter all dem: Der Netzwerkstandort allein gewährt kein implizites Vertrauen. Die Ressourcenauthentifizierung hat nach der Zulassung des Tunnels noch eine Aufgabe, und die Frage, wer sonst dieses Netz teilt, ebenso.

Was der Betreiber im Pfad sehen kann

Ein VPN verschiebt Ihren Verkehr an eine andere Stelle des Pfades; es fügt keine Anwendungsverschlüsselung hinzu. Wenn der Anbieter Ihr TLS beendet, kann der Anbieter lesen, was Ihr Browser sonst geschützt hätte, und keine lokale Firewall-Regel ändert das.

Behalten Sie die normale Zertifikatsprüfung für das tatsächliche Ziel bei und verstehen Sie den Resolver- und Metadatenpfad, denn eine DNS-Abfrage kann mehr verraten als die Nutzlast, die ihr vorausgeht. Metadaten allein, also welche Adressen Sie wann kontaktiert haben, beantworten oft die Frage des Betreibers, ohne Inhalte lesen zu müssen. Deshalb sind „der Verkehr ist verschlüsselt“ und „der Verkehr ist privat“ verschiedene Aussagen.

Ist diese Sichtbarkeit für die Aufgabe unannehmbar, ist die Antwort eine andere genehmigte Architektur statt mehr lokaler Filterung. Lokale Filterung kann einen Beobachter nicht von einem Pfad entfernen, auf dem er noch sitzt.

Was der lokale Client ändern darf

Das ist die Grenze, die Menschen übersehen, und sie ist es, die die anderen beiden gegenstandslos macht. Unter Linux deckt CAP_NET_ADMIN Schnittstellenkonfiguration, Firewall-Verwaltung und Routenänderungen in seinem Netzwerkkontext ab. Software mit dieser Fähigkeit kann die Richtlinie umschreiben, die Sie gerade geschrieben haben.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ein Netzwerk-Namespace ist eine echte Grenze für Netzwerkzustand und eine schlechte für alles andere: Er isoliert weder das Dateisystem noch den Anmeldeinformationsspeicher. Behandeln Sie ihn als eine Schicht und nicht als Container für das ganze Problem.

Beziehen Sie den Client und seine Konfiguration aus einer gepflegten Quelle, prüfen Sie die Rechte, die er anfordert, und halten Sie privilegierte Komponenten unter Administratorkontrolle. Eine virtuelle Maschine kann Teil einer qualifizierten Bewertungsgrenze sein, ohne zur Erlaubnis zu werden, einen unerklärten Installer neben wertvollen Anmeldeinformationen auszuführen. Der Installer läuft mit welchen Rechten auch immer Sie ihm geben, und diese Rechte sind die Grenze.

Schreiben Sie auf, welche Grenze Sie akzeptiert haben

Schließen Sie mit einem Satz, der vier Dinge benennt: den vertrauenswürdigen lokalen Code, den erlaubten Fernzugriff, die geschützten Anwendungsdaten und die verbleibende Betreiberbeziehung. Dieser Satz ist mehr wert als die pauschale Behauptung, eine VM, ein Betriebssystem oder ein Antivirenprodukt habe ein feindliches Netz sicher gemacht.

Bestätigen Sie dann, dass der enge Vorgang funktioniert und die geforderte Verweigerung weiterhin gilt, auch nachdem der Tunnel zusammenbricht. Eine Grenze, die nur besteht, solange der Tunnel steht, ist nicht die Grenze, die Sie dokumentiert haben.

Kein Test beweist, dass jede Schwachstelle fehlt, und eine Prüfung, die das Gegenteil behauptet, überzieht. Die ehrliche Ausgabe benennt das Restrisiko und die Person, die es akzeptiert hat.