Nekonataj OVPN-dosieroj: loka risko kaj malproksima fido

Traktu OVPN-dosieron kiel enigon al programo, ne kiel atestilon, ke ĝia enhavo estas sendanĝera. Kontroli la servilan adreson respondas nur, kien la profilo volas konektiĝi, kaj nenion alian. Du apartaj fidodecidoj kuŝas en tiu dosiero: kion la kliento rajtas fari sur via maŝino, kaj kiu operatoro ricevas la trafikon. Konata protokola nomo solvas nek unu nek la alian.

Du decidoj kaŝiĝas en unu dosiero

La unua decido estas loka. La profilo estas konfigura lingvo, kaj la kliento, kiu legas ĝin, povas subteni direktivojn, kiuj ŝargas kromaĵon, rulas skripton aŭ ŝanĝas kiel enkursigado kaj DNS aplikiĝas. La dua decido estas malproksima. Kion ajn la dosiero enhavas, la elira operatoro vidas la trafikon, kiu atingas ĝin.

Konfuzi la du donas malbonan konsilon en ambaŭ direktoj: puraspekta profilo de nekonata operatoro, aŭ profilo de konata operatoro kun hoko, kiun neniu legis. Profilo, kiu estas loke sekura, ankoraŭ povas transdoni vian trafikon al iu, kiun vi ne elektus.

Legu la profilon antaŭ ol iu ajn kliento faros tion

Legu la dosieron kiel tekston antaŭ ol iu ajn kliento prilaboros ĝin. Serĉu direktivojn, kiuj montras ekster la dosieron, referencas plenumeblajn programojn aŭ ŝanĝas privilegiojn, kaj komparu tiun liston kun la dokumentita subteno de la kliento. Mallonga serĉo ne estas sekureca revizio, sed ĝi diras al vi, ĉu la profilo estas servila listo aŭ io pli.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Malplena rezulto estas trankviliga kaj ne konkluda, ĉar opcioj povas interagi aŭ esti liveritaj de inkludita dosiero. Traktu la filtritan liston kiel kialon daŭrigi legi, ne kiel verdikton.

La instrukcioj, kiuj venas kun la profilo, meritas la saman ekzamenon kiel la profilo. Kvar petoj devus haltigi vin: ŝalti skriptojn, instali helpilon aŭ bibliotekon, ruli la klienton kiel administranto, aŭ malfortigi importan limigon. Ĉiu el ili movas la fido-limiton eksteren, kaj neniu estas ordinara parto de importado de servila listo.

Legu ankaŭ la tutan dosieron unufoje, ĉar unu nekonatan linion pli facile juĝi en kunteksto ol en filtrita listo. Se linio estas nekonata, serĉu ĝin en la manlibro de via kliento anstataŭ diveni.

Kion la kliento efektive plenumos

La manlibro 2.6 de Community OpenVPN dokumentas la ŝtuparon script-security: nivelo 1 estas la defaŭlta kaj blokas uzantodifinitajn skriptojn, dum nivelo 2 permesas ilin. Ŝargado de kromaĵoj estas aparta komplekso kun propra direktivo. Tial la sama dosiero povas signifi malsamajn aferojn en malsamaj klientoj. Movaj kaj vendistaj klientoj eble akceptas pli mallarĝan aron da direktivoj, aŭ neniun el la hokoj.

La lanĉa metodo gravas same kiel la kliento. Profilo lanĉita de privilegia helpilo povas fari pli ol unu lanĉita en uzanta spaco, kaj tiu diferenco estas kialo legi la importan inviton anstataŭ forigi ĝin.

Ankaŭ la versio gravas, ĉar tiuj niveloj estas difinitaj por ĉiu eldono, kaj kliento kelkajn versiojn malantaŭe eble ne efektivigas la saman politikon. Legu la manlibron, kiu kongruas kun la konstruo, kiun vi rulas, ne la plej novan, kiun vi trovas. Se la kliento ie ajn ne montras versian ĉenon, tio jam estas kialo malrapidiĝi.

Komparu la operatoron, ne nur la adreson

Komparu operatorojn tiel, kiel vi komparas iun ajn alian peranton. Demandu, kiu funkciigas la eliron, kion ili registras, kaj kiel la profilo atingis vin. Kontrolita elŝuta paĝo kaj kongrua fingrospuro diras pli ol konata gastigantnomo. Atingebla servilo pruvas nur, ke io respondis.

Akiriloj estas la parto, kiun homoj maltrafas sub premo. Ne tajpu pasvorton de senrilata konto en elŝutitan profilon ĉar la servila nomo aspektas konata. Profilo ankaŭ povas porti privatan ŝlosilon malkaŝe, do afiŝi la tutan dosieron en revizia fadeno transdonas tiun ŝlosilon al la fadeno.

Ĝuste validigita HTTPS-sesio ankoraŭ kaŝas paĝan enhavon de iu, kiu nur plusendas pakaĵojn, do la eliro ne aŭtomate vidas ĉiun pasvorton. Ĝi ja vidas, kiujn retejojn vi atingas, kaj tiu limo indas esti dirata precize, ne troige.

Kie la origino de la dosiero restas malklara, aŭ privilegio, kiun ĝi postulas, havas neniun klarigon, kiun vi povas akcepti, anstataŭigu la profilon per unu el fonto, kiun oni povas respondecigi. En administrata labora konekto, la administranto devus aprobi la klienton kaj la agordon kiel unu decidon, ne kiel du. Nenio ĉi tie postulas, ke vi unue pruvu malbonan intencon; rifuzi aliron estas legitima respondo.