Άγνωστα αρχεία OVPN: τοπικός κίνδυνος και εμπιστοσύνη από απόσταση

Αντιμετωπίστε ένα αρχείο OVPN ως είσοδο για ένα πρόγραμμα, όχι ως βεβαίωση ότι το περιεχόμενό του είναι αβλαβές. Ο έλεγχος της διεύθυνσης του διακομιστή απαντά μόνο πού θέλει να συνδεθεί το προφίλ και τίποτε άλλο. Μέσα σε αυτό το αρχείο βρίσκονται δύο ξεχωριστές αποφάσεις εμπιστοσύνης: τι επιτρέπεται να κάνει ο πελάτης στον υπολογιστή σας και ποιος φορέας λαμβάνει την κίνηση. Ένα γνωστό όνομα πρωτοκόλλου δεν λύνει καμία από τις δύο.

Δύο αποφάσεις κρύβονται σε ένα αρχείο

Η πρώτη απόφαση είναι τοπική. Το προφίλ είναι γλώσσα διαμόρφωσης και ο πελάτης που το διαβάζει μπορεί να υποστηρίζει οδηγίες που φορτώνουν πρόσθετο, εκτελούν σενάριο ή αλλάζουν τον τρόπο εφαρμογής της δρομολόγησης και του DNS. Η δεύτερη απόφαση είναι απομακρυσμένη. Ό,τι κι αν περιέχει το αρχείο, ο φορέας εξόδου βλέπει την κίνηση που φτάνει σε αυτόν.

Η σύγχυση των δύο παράγει κακή συμβουλή και προς τις δύο κατευθύνσεις: ένα προφίλ που φαίνεται καθαρό από άγνωστο φορέα ή το προφίλ γνωστού φορέα με ένα άγκιστρο που δεν διάβασε κανείς. Ένα προφίλ ασφαλές τοπικά μπορεί ακόμη να παραδώσει την κίνησή σας σε κάποιον που δεν θα επιλέγατε.

Διαβάστε το προφίλ πριν το κάνει οποιοσδήποτε πελάτης

Διαβάστε το αρχείο ως κείμενο πριν το επεξεργαστεί οποιοσδήποτε πελάτης. Αναζητήστε οδηγίες που δείχνουν έξω από το αρχείο, αναφέρονται σε εκτελέσιμα ή αλλάζουν προνόμια, και συγκρίνετε αυτή τη λίστα με την τεκμηριωμένη υποστήριξη του πελάτη. Μια σύντομη αναζήτηση δεν είναι έλεγχος ασφαλείας, αλλά σας λέει αν το προφίλ είναι λίστα διακομιστών ή κάτι περισσότερο.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Ένα κενό αποτέλεσμα είναι καθησυχαστικό και όχι καταληκτικό, επειδή οι επιλογές μπορεί να αλληλεπιδρούν ή να παρέχονται από ένα συμπεριλαμβανόμενο αρχείο. Θεωρήστε τη φιλτραρισμένη λίστα λόγο να συνεχίσετε να διαβάζετε, όχι ετυμηγορία.

Οι οδηγίες που φτάνουν μαζί με το προφίλ αξίζουν την ίδια εξέταση με το προφίλ. Τέσσερα αιτήματα θα πρέπει να σας σταματήσουν: ενεργοποίηση σεναρίων, εγκατάσταση βοηθητικού προγράμματος ή βιβλιοθήκης, εκτέλεση του πελάτη ως διαχειριστή ή αποδυνάμωση περιορισμού εισαγωγής. Κάθε ένα μετακινεί το όριο εμπιστοσύνης προς τα έξω και κανένα δεν είναι συνηθισμένο μέρος της εισαγωγής λίστας διακομιστών.

Διαβάστε επίσης ολόκληρο το αρχείο μία φορά, επειδή μια μεμονωμένη άγνωστη γραμμή κρίνεται ευκολότερα στο πλαίσιο παρά σε φιλτραρισμένη λίστα. Αν μια γραμμή είναι άγνωστη, αναζητήστε την στο εγχειρίδιο του πελάτη σας αντί να μαντέψετε.

Τι θα εκτελέσει πραγματικά ο πελάτης

Το εγχειρίδιο 2.6 του Community OpenVPN τεκμηριώνει τα σκαλοπάτια script-security: το επίπεδο 1 είναι το προεπιλεγμένο και αποκλείει σενάρια που ορίζει ο χρήστης, ενώ το επίπεδο 2 τα επιτρέπει. Η φόρτωση προσθέτων είναι ξεχωριστός μηχανισμός με δική του οδηγία. Γι’ αυτό το ίδιο αρχείο μπορεί να σημαίνει διαφορετικά πράγματα σε διαφορετικούς πελάτες. Κινητοί πελάτες και πελάτες κατασκευαστών μπορεί να δέχονται στενότερο σύνολο οδηγιών ή κανένα από τα άγκιστρα.

Ο τρόπος εκκίνησης μετράει όσο και ο πελάτης. Ένα προφίλ που ξεκινά από προνομιούχο βοηθητικό πρόγραμμα μπορεί να κάνει περισσότερα από ένα που ξεκινά στον χώρο χρήστη, και αυτή η διαφορά είναι λόγος να διαβάσετε το μήνυμα εισαγωγής αντί να το αγνοήσετε.

Και η έκδοση μετράει, επειδή αυτά τα επίπεδα ορίζονται ανά έκδοση και ένας πελάτης αρκετές εκδόσεις πίσω μπορεί να μην εφαρμόζει την ίδια πολιτική. Διαβάστε το εγχειρίδιο που ταιριάζει με την κατασκευή που εκτελείτε, όχι το νεότερο που θα βρείτε. Αν ο πελάτης δεν εμφανίζει πουθενά συμβολοσειρά έκδοσης, αυτός είναι ήδη λόγος να επιβραδύνετε.

Συγκρίνετε τον φορέα, όχι μόνο τη διεύθυνση

Συγκρίνετε φορείς όπως συγκρίνετε οποιονδήποτε άλλο μεσάζοντα. Ρωτήστε ποιος διαχειρίζεται την έξοδο, τι καταγράφουν και πώς έφτασε σε εσάς το προφίλ. Μια επαληθευμένη σελίδα λήψης και ένα ταιριαστό αποτύπωμα λένε περισσότερα από ένα γνωστό όνομα κεντρικού υπολογιστή. Ένας προσβάσιμος διακομιστής αποδεικνύει μόνο ότι κάτι απάντησε.

Τα διαπιστευτήρια είναι το σημείο όπου οι άνθρωποι κάνουν λάθος υπό πίεση. Μην πληκτρολογείτε τον κωδικό ενός άσχετου λογαριασμού σε ένα προφίλ που κατεβάσατε επειδή το όνομα του διακομιστή φαίνεται γνωστό. Ένα προφίλ μπορεί επίσης να μεταφέρει ιδιωτικό κλειδί σε ανοιχτή μορφή, οπότε η ανάρτηση ολόκληρου του αρχείου σε νήμα αξιολόγησης παραδίδει αυτό το κλειδί στο νήμα.

Μια σωστά επικυρωμένη συνεδρία HTTPS εξακολουθεί να κρύβει το περιεχόμενο της σελίδας από όποιον απλώς προωθεί πακέτα, επομένως η έξοδος δεν βλέπει αυτόματα κάθε κωδικό. Βλέπει όμως ποιους ιστότοπους προσεγγίζετε, και αυτό το όριο αξίζει να δηλώνεται με ακρίβεια αντί να υπερβάλλουμε.

Όπου η προέλευση του αρχείου παραμένει ασαφής ή ένα προνόμιο που ζητά δεν έχει εξήγηση που μπορείτε να δεχτείτε, αντικαταστήστε το προφίλ με ένα από πηγή που μπορεί να λογοδοτήσει. Σε διαχειριζόμενη σύνδεση εργασίας, ο διαχειριστής θα πρέπει να εγκρίνει τον πελάτη και τη διαμόρφωση ως μία απόφαση και όχι ως δύο. Τίποτα εδώ δεν απαιτεί να αποδείξετε πρώτα κακή πρόθεση: η άρνηση πρόσβασης είναι νόμιμη απάντηση.