Τι μπορεί να αλλάξει ένα προφίλ VPN που σας παραδόθηκε στη συσκευή σας

Το να δώσετε στον πελάτη σας ένα προφίλ VPN σημαίνει να του δώσετε ρυθμίσεις γραμμένες από κάποιον άλλο, τις οποίες το πρόγραμμα εκτελεί μετά στη μηχανή σας. Η εισαγωγή του μπορεί να αλλάξει πού πηγαίνει η καλυμμένη κίνηση, σε ποιον ομότιμο κόμβο εμπιστεύεται η συσκευή σας και, σε ορισμένες μορφές, ποια τοπικά προγράμματα εκκινούν όταν σηκώνεται η σήραγγα. Το αρχείο δεν είναι σελιδοδείκτης· είναι ένα μικρό πρόγραμμα σε δηλωτική μορφή.

Διαβάστε το όπως θα διαβάζατε ένα σενάριο κελύφους από την ίδια πηγή.

Ο πελάτης το ερμηνεύει, όχι εσείς

Κάθε πεδίο στο αρχείο είναι οδηγία προς έναν συγκεκριμένο πελάτη. Το τελικό σημείο και το πρωτόκολλο αποφασίζουν πού πάει η σήραγγα, το τμήμα ελέγχου ταυτότητας αποφασίζει ποιο μυστικό ζητείται και οι οδηγίες δρομολόγησης αποφασίζουν τι μπαίνει μέσα της. Πιστοποιητικά ή ιδιωτικό κλειδί μπορεί να είναι ενσωματωμένα ως τμήματα αντί να παραπέμπονται ως αρχεία, και γι' αυτό ένα μόνο αρχείο κειμένου μερικές φορές μεταφέρει όλα όσα χρειάζονται για να υποδυθεί κάποιος εσάς απέναντι σε μια πύλη. Αυτή ακριβώς η ιδιότητα κάνει την πρόχειρη κοινή χρήση αρχείων τόσο επικίνδυνη.

Τα προφίλ OpenVPN μπορούν επίσης να μεταφέρουν άγκιστρα σεναρίων, διαδρομές πρόσθετων και ένα επίπεδο ασφαλείας που καθορίζει αν επιτρέπεται να εκτελεστούν αυτά τα άγκιστρα. Αυτός ο συνδυασμός είναι που κάνει ένα άγνωστο προφίλ άξιο ανάγνωσης γραμμή προς γραμμή αντί για διπλό κλικ. Ο πελάτης θα κάνει ακριβώς ό,τι λέει το αρχείο, και θα το κάνει με τα δικά σας δικαιώματα.

Οι αλλαγές δρομολόγησης φαίνονται μετά από μία σύνδεση

Ένα προφίλ πλήρους σήραγγας εγκαθιστά δρομολόγια που στέλνουν τα πάντα μέσω της πύλης, ενώ ένα προφίλ διαχωρισμένης σήραγγας στέλνει μόνο επιλεγμένα προθέματα. Ορισμένα προφίλ προωθούν και έναν διακομιστή DNS, κάτι που αλλάζει ήσυχα ποιος βλέπει τα ερωτήματά σας. Τίποτα από αυτά δεν είναι από μόνο του κακόβουλο, και τίποτα από αυτά δεν είναι προφανές από το όνομα του αρχείου.

Συγκρίνετε τον πίνακα δρομολόγησης πριν και μετά την πρώτη σύνδεση και θα δείτε την πρόθεση με μια ματιά. Ένα προφίλ που διαφημίζεται ως πρόσβαση σε μία εσωτερική εφαρμογή αλλά εγκαθιστά ευρύτερο προεπιλεγμένο δρομολόγιο σας λέει κάτι για τον δημιουργό του.

Το υλικό εμπιστοσύνης και τα άγκιστρα κουβαλούν το πραγματικό βάρος

Ένα προφίλ μπορεί να παρέχει πληροφορίες εμπιστοσύνης στον πελάτη VPN, και ένα πακέτο ρυθμίσεων πλατφόρμας μπορεί να πάει παραπέρα και να εγκαταστήσει πιστοποιητικό ή ρίζα σε χώρο αποθήκευσης του συστήματος. Πρόκειται για διαφορετικά πεδία με διαφορετικές συνέπειες. Η περίπτωση στο πεδίο του πελάτη επηρεάζει την επικύρωση μίας εφαρμογής· η περίπτωση σε επίπεδο συστήματος επηρεάζει ό,τι χρησιμοποιεί τον χώρο εμπιστοσύνης της πλατφόρμας.

Τα άγκιστρα σεναρίων και τα πρόσθετα είναι το άλλο μισό. Μια οδηγία που εκτελεί εντολή κατά τη σύνδεση, ή ένα πρόσθετο φορτωμένο στη διεργασία του πελάτη, έχει τα δικά σας δικαιώματα και τίποτα από την απομόνωση του πελάτη. Αν ένα προφίλ που δεν ζητήσατε περιέχει κάτι τέτοιο, αυτό είναι ερώτημα για το άτομο που το έστειλε.

Καμία από τις δύο κατηγορίες δεν είναι αυτόματα εχθρική. Οι εταιρικές αναπτύξεις χρησιμοποιούν και τις δύο. Το ζήτημα είναι ότι καθεμία απαιτεί μια εξήγηση που μπορείτε να ελέγξετε.

Επαληθεύστε την προέλευση, μετά δώστε το μυστικό

Εξακριβώστε ποιος εξέδωσε το αρχείο μέσω καναλιού που ήδη εμπιστεύεστε, όχι μέσω του μηνύματος που το παρέδωσε. Συγκρίνετε τα στοιχεία του τελικού σημείου και του πιστοποιητικού με τη δημοσιευμένη τεκμηρίωση του παρόχου. Αν ένα προφίλ έφτασε χωρίς να το ζητήσετε, πάρτε καινούργιο απευθείας από τον πάροχο αντί να επισκευάσετε το αντίγραφο που σας δόθηκε. Ρωτήστε ποια έκδοση πελάτη υποστηρίζει ο πάροχος, γιατί το ίδιο αρχείο μπορεί να ερμηνευτεί διαφορετικά από άλλον πελάτη.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Μη βάζετε ποτέ κωδικό σε ανεξήγητο πεδίο για να δείτε αν δουλεύει, και μη δέχεστε ποτέ άγνωστη αίτηση δικαιωμάτων μόνο για να ολοκληρώσετε μια εισαγωγή. Μια επιτυχημένη σύνδεση αποδεικνύει ότι το τελικό σημείο απάντησε, τίποτα περισσότερο.

Αφαιρέστε το εισαγμένο αντίγραφο, όχι τη λήψη

Οι πελάτες αντιγράφουν το προφίλ στον δικό τους χώρο, οπότε η διαγραφή του αρχείου λήψης αφήνει την εισαγμένη σύνδεση ενεργή. Αφαιρέστε την από τη διεπαφή του ίδιου του πελάτη και ελέγξτε ότι έχει φύγει και κάθε πιστοποιητικό που προστέθηκε κατά την εισαγωγή. Έπειτα βεβαιωθείτε ότι έχουν φύγει και τα δρομολόγια που εγκατέστησε.

Αν ένα πιστοποιητικό εγκαταστάθηκε σε επίπεδο συστήματος, η αφαίρεση του προφίλ δεν αρκεί. Αυτός ο καθαρισμός ανήκει στη διαχείριση εμπιστοσύνης της πλατφόρμας, και αξίζει να γίνει σκόπιμα αντί να ελπίζετε ότι θα τον χειριστεί η επόμενη επανεκκίνηση.