Ένα μη αξιόπιστο VPN είναι τρία ξεχωριστά σύνορα, όχι ένα

Το «δεν εμπιστεύομαι αυτό το VPN» είναι συνήθως τρεις δηλώσεις ντυμένες σε μία πρόταση. Οι απομακρυσμένοι ομότιμοι σε εκείνο το δίκτυο μπορεί να φτάσουν υπηρεσίες στον υπολογιστή σας, ο χειριστής που τρέχει τη σήραγγα μπορεί να παρατηρεί την κίνηση που περνά από μέσα της, και το λογισμικό πελάτη που εγκαταστήσατε μπορεί να αλλάζει την πολιτική δικτύου του μηχανήματός σας. Η πεποίθηση που αξίζει διόρθωση είναι ότι ένας κανόνας τείχους προστασίας, μια εικονική μηχανή ή μια προσεκτική επιλογή λειτουργικού συστήματος απαντά και στα τρία. Κάθε μέτρο απαντά ακριβώς σε ένα από αυτά.

Ο μύθος: ένας έλεγχος καλύπτει όλο τον κίνδυνο

Η κοινή υπόθεση είναι ότι η σύνδεση σε ένα μη αξιόπιστο δίκτυο είναι μία απόφαση με ένα μέτρο μετριασμού. Οι άνθρωποι επιλέγουν τον έλεγχο που ήδη εμπιστεύονται, τον εφαρμόζουν και θεωρούν τον κίνδυνο τακτοποιημένο: το τείχος προστασίας είναι ενεργό, ο χώρος εργασίας είναι μιας χρήσης, ο πελάτης προέρχεται από αξιόπιστο προμηθευτή.

Αυτοί οι έλεγχοι δεν επικαλύπτονται όπως υπονοεί η υπόθεση. Ένα τείχος προστασίας υπολογιστή περιορίζει το τι μπορεί να φτάσει ένας απομακρυσμένος ομότιμος, και δεν κάνει τίποτα για έναν χειριστή που τερματίζει το TLS σας. Μια εικονική μηχανή χωρίζει έναν χώρο εργασίας από τα αρχεία του υπολογιστή σας, και δεν κάνει τίποτα για ένα συστατικό πελάτη που επιτρέπεται να αναδιαμορφώσει τη στοίβα δικτύου κάτω και από τα δύο. Το να ονομάσετε το σύνορο που δημιουργεί πραγματικά κάθε έλεγχος είναι όλη η άσκηση.

Ο διαχωρισμός τους σας λέει επίσης ποιον κίνδυνο επιλέξατε να δεχτείτε. Οι περισσότερες πραγματικές αποφάσεις μετριάζουν ένα σύνορο και ανέχονται ένα άλλο, κάτι που είναι εντάξει εφόσον το αρχείο αλλαγής λέει ποιο είναι ποιο.

Τι μπορεί πραγματικά να φτάσει ο απομακρυσμένος ομότιμος

Ξεκινήστε με τις υπηρεσίες που ακούνε. Η διεπαφή σήραγγας που θεωρείται ευρέως αξιόπιστη επειδή τα πακέτα της έφτασαν κρυπτογραφημένα είναι το συνηθισμένο λάθος, και μετατρέπει κάθε τοπικό ακροατή σε πιθανό στόχο για οποιονδήποτε άλλο βρίσκεται σε εκείνο το δίκτυο. Η κρυπτογράφηση προστατεύει το καλώδιο ανάμεσα σε δύο άκρα· δεν λέει τίποτα για την πρόθεση του ομοτίμου στην άλλη άκρη.

ss -tulpn
sudo nft list ruleset
ip -br addr

Δέστε τις υπηρεσίες στη διεύθυνση που χρειάζονται αντί σε κάθε διεπαφή, και επιτρέψτε μόνο τις λειτουργίες που απαιτεί η εγκεκριμένη εργασία. Κρατήστε την προώθηση, τη γεφύρωση και το proxying εφαρμογών ρητά, γιατί δύο συνδέσεις δικτύου δεν δημιουργούν από μόνες τους διαδρομή διέλευσης, αλλά ένας κανόνας proxy σίγουρα μπορεί.

Ένας εγκεκριμένος χώρος εργασίας μιας χρήσης μειώνει το τι μπορεί να φτάσει το απομακρυσμένο δίκτυο, αλλά μόνο όταν η διαμόρφωση κοινής χρήσης του ταιριάζει με τον ισχυρισμό. Οι κοινόχρηστοι φάκελοι, η ενσωμάτωση προχείρου, οι πράκτορες διαπιστευτηρίων και τα κανάλια διαχείρισης διαπερνούν όλα το σύνορο που ο χώρος εργασίας έπρεπε να δημιουργήσει. Μια ετικέτα χώρου εργασίας δεν αποδεικνύει τίποτα για το ποια από αυτά είναι ανοιχτά.

Η αρχιτεκτονική μηδενικής εμπιστοσύνης του NIST διατυπώνει την αρχή πίσω από όλα αυτά: Η θέση στο δίκτυο από μόνη της δεν παρέχει σιωπηρή εμπιστοσύνη. Ο έλεγχος ταυτότητας πόρων έχει ακόμη δουλειά αφού γίνει δεκτή η σήραγγα, και το ίδιο ισχύει για το ερώτημα ποιος άλλος μοιράζεται εκείνο το δίκτυο.

Τι μπορεί να δει ο χειριστής στη διαδρομή

Ένα VPN μετακινεί την κίνησή σας σε άλλο σημείο της διαδρομής· δεν προσθέτει κρυπτογράφηση εφαρμογών. Αν ο πάροχος τερματίζει το TLS σας, μπορεί να διαβάσει ό,τι θα προστάτευε διαφορετικά το πρόγραμμα περιήγησής σας, και κανένας τοπικός κανόνας τείχους προστασίας δεν το αλλάζει.

Διατηρήστε την κανονική επικύρωση πιστοποιητικών για τον πραγματικό προορισμό και κατανοήστε τη διαδρομή του resolver και των μεταδεδομένων, γιατί ένα ερώτημα DNS μπορεί να αποκαλύψει περισσότερα από το φορτίο που προηγείται. Τα μεταδεδομένα μόνα τους, δηλαδή ποιες διευθύνσεις προσεγγίσατε και πότε, απαντούν συχνά στο ερώτημα του χειριστή χωρίς καμία ανάγκη ανάγνωσης περιεχομένου. Γι’ αυτό «η κίνηση είναι κρυπτογραφημένη» και «η κίνηση είναι ιδιωτική» είναι διαφορετικοί ισχυρισμοί.

Αν αυτή η ορατότητα είναι απαράδεκτη για την εργασία, η απάντηση είναι μια άλλη εγκεκριμένη αρχιτεκτονική παρά περισσότερο τοπικό φιλτράρισμα. Το τοπικό φιλτράρισμα δεν μπορεί να αφαιρέσει έναν παρατηρητή από μια διαδρομή στην οποία ακόμη κάθεται.

Τι επιτρέπεται να αλλάξει ο τοπικός πελάτης

Αυτό είναι το σύνορο που χάνουν οι άνθρωποι, και είναι εκείνο που καθιστά τα άλλα δύο άνευ σημασίας. Στο Linux, το CAP_NET_ADMIN καλύπτει τη διαμόρφωση διεπαφών, τη διαχείριση τείχους προστασίας και τις αλλαγές διαδρομών μέσα στο δίκτυο πλαίσιό του. Λογισμικό που κατέχει αυτή την ικανότητα μπορεί να ξαναγράψει την πολιτική που μόλις γράψατε.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ένας χώρος ονομάτων δικτύου είναι πραγματικό σύνορο για την κατάσταση δικτύου και φτωχό για οτιδήποτε άλλο: δεν απομονώνει το σύστημα αρχείων ή την αποθήκη διαπιστευτηρίων. Αντιμετωπίστε το ως ένα στρώμα και όχι ως δοχείο για όλο το πρόβλημα.

Αποκτήστε τον πελάτη και τη διαμόρφωσή του από συντηρούμενη πηγή, εξετάστε την εξουσία που ζητά, και κρατήστε τα προνομιακά συστατικά υπό έλεγχο διαχειριστή. Μια εικονική μηχανή μπορεί να αποτελεί μέρος ενός εγκεκριμένου ορίου αξιολόγησης χωρίς να γίνεται άδεια εκτέλεσης ενός ανεξήγητου εγκαταστάτη δίπλα σε πολύτιμα διαπιστευτήρια. Ο εγκαταστάτης τρέχει με όποια εξουσία του δώσετε, και αυτή η εξουσία είναι το σύνορο.

Γράψτε ποιο σύνορο δεχτήκατε

Κλείστε με μια πρόταση που ονομάζει τέσσερα πράγματα: τον αξιόπιστο τοπικό κώδικα, την επιτρεπόμενη απομακρυσμένη πρόσβαση, τα προστατευμένα δεδομένα εφαρμογών και τη σχέση με τον χειριστή που παραμένει. Αυτή η πρόταση αξίζει περισσότερο από μια γενική δήλωση ότι μια εικονική μηχανή, ένα λειτουργικό σύστημα ή ένα προϊόν αντιιικού έκαναν ένα εχθρικό δίκτυο ασφαλές.

Έπειτα επιβεβαιώστε ότι η στενή λειτουργία δουλεύει και ότι η απαιτούμενη άρνηση εξακολουθεί να ισχύει, ακόμη και αφού πέσει η σήραγγα. Ένα σύνορο που υπάρχει μόνο όσο η σήραγγα είναι ενεργή δεν είναι το σύνορο που τεκμηριώσατε.

Καμία δοκιμή δεν αποδεικνύει ότι κάθε ευπάθεια απουσιάζει, και μια ανασκόπηση που ισχυρίζεται το αντίθετο υπερβάλλει. Η έντιμη έξοδος ονομάζει τον υπολειπόμενο κίνδυνο και το πρόσωπο που τον δέχτηκε.