Nefidinda VPN estas tri apartaj limoj, ne unu

«Mi ne fidas ĉi tiun VPN-on» estas kutime tri asertoj vestitaj en unu frazo. La foraj samtavolanoj en tiu reto povus atingi servojn sur via gastiganto, la operatoro, kiu funkciigas la tunelon, povus observi trafikon, kiu trapasas ĝin, kaj la klienta programaro, kiun vi instalis, povus ŝanĝi la retan politikon de via maŝino. La kredo inda je korekto estas, ke fajroŝirma regulo, virtuala maŝino aŭ zorgema elekto de operaciumo respondas al ĉiuj tri. Ĉiu rimedo respondas al ekzakte unu el ili.

La mito: unu kontrolo kovras la tutan riskon

La ordinara supozo estas, ke aliĝi al nefidinda reto estas unu decido kun unu mildigo. Homoj elektas la kontrolon, kiun ili jam fidas, aplikas ĝin kaj konsideras la riskon fermita: la fajroŝirmilo estas ŝaltita, la laborspaco estas unuuzebla, la kliento venas de respektata vendanto.

Tiuj kontroloj ne interkovriĝas tiel, kiel la supozo implicas. Gastiganta fajroŝirmilo limigas tion, kion fora samtavolano povas atingi, kaj ĝi faras nenion kontraŭ operatoro, kiu finigas vian TLS. Virtuala maŝino apartigas laborspacon de viaj gastigantaj dosieroj, kaj ĝi faras nenion kontraŭ klienta komponento rajtigita rekonfiguri la retan stakon sub ambaŭ. Nomigi la limon, kiun ĉiu kontrolo efektive kreas, estas la tuta ekzerco.

Ilia apartigo ankaŭ diras al vi, kiun riskon vi elektis akcepti. Plej multaj realaj decidoj mildigas unu limon kaj toleras alian, kio estas en ordo tiom longe kiom la ŝanĝa registro diras, kiu estas kiu.

Kion la fora samtavolano povas efektive atingi

Komencu per aŭskultantaj servoj. La tunela interfaco traktata kiel vaste fidinda ĉar ĝiaj pakaĵoj alvenis ĉifritaj estas la kutima eraro, kaj ĝi igas ĉiun lokan aŭskultanton ebla celo por ĉiu ajn alia sur tiu reto. Ĉifrado protektas la draton inter du finpunktoj; ĝi diras nenion pri la intenco de la samtavolano ĉe la alia fino.

ss -tulpn
sudo nft list ruleset
ip -br addr

Ligu servojn al la adreso, kiun ili bezonas, anstataŭ al ĉiu interfaco, kaj permesu nur la operaciojn, kiujn la aprobita tasko postulas. Tenu plusendadon, pontadon kaj aplikaĵan prokseadon eksplicitaj, ĉar du retaj alkroĉoj per si mem ne kreas transitan vojon, sed proksa regulo certe povas.

Aprobita unuuzebla laborspaco reduktas tion, kion la fora reto povas atingi, sed nur kiam ĝia kunhava agordo kongruas kun la aserto. Kunhavataj dosierujoj, intermemora integriĝo, akreditilaj agentoj kaj administraj kanaloj ĉiuj transiras la limon, kiun la laborspaco devis krei. Etikedo de laborspaco pruvas nenion pri tio, kiuj el ili estas malfermitaj.

La nula-fida arkitekturo de NIST esprimas la principon malantaŭ ĉio ĉi: reteja loko sola ne donas implican fidon. Rimeda aŭtentikigo ankoraŭ havas laboron post kiam la tunelo estas allasita, kaj same la demando, kiu alia dividas tiun reton.

Kion la operatoro en la vojo povas vidi

VPN movas vian trafikon al alia loko sur la vojo; ĝi ne aldonas aplikaĵan ĉifradon. Se la provizanto finigas vian TLS, la provizanto povas legi tion, kion via retumilo alie protektus, kaj neniu loka fajroŝirma regulo tion ŝanĝas.

Tenu normalan atestilan validigon por la reala celo kaj komprenu la vojon de la solvilo kaj de metadatenoj, ĉar DNS-demando povas malkaŝi pli ol la ŝarĝo, kiu ĝin antaŭas. Metadatenoj solaj, tio estas kiujn adresojn vi kontaktis kaj kiam, ofte respondas la demandon de la operatoro sen ajna bezono legi enhavon. Tial «la trafiko estas ĉifrita» kaj «la trafiko estas privata» estas malsamaj asertoj.

Se tiu videbleco estas neakceptebla por la tasko, la respondo estas alia aprobita arkitekturo anstataŭ pli da loka filtrado. Loka filtrado ne povas forigi observanton el vojo, sur kiu ĝi ankoraŭ sidas.

Kion la loka kliento rajtas ŝanĝi

Jen la limo, kiun homoj preteratentas, kaj ĝi estas tiu, kiu senkulpigas la aliajn du. En Linux, CAP_NET_ADMIN kovras interfacan agordon, fajroŝirman administradon kaj vojsignajn ŝanĝojn ene de sia reta kunteksto. Programaro posedanta tiun kapablon povas reverki la politikon, kiun vi ĵus skribis.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Reta nomspaco estas vera limo por reta stato kaj malbona por ĉio alia: ĝi ne izolas la dosiersistemon aŭ la akreditilan konservejon. Traktu ĝin kiel unu tavolon anstataŭ kiel ujon por la tuta problemo.

Akiru la klienton kaj ĝian agordon el prizorgata fonto, revizuu la aŭtoritaton, kiun ĝi petas, kaj tenu privilegiajn komponentojn sub administra kontrolo. Virtuala maŝino povas esti parto de kvalifikita taksa limo sen fariĝi permeso ruli neklarigitan instalilon apud valoraj akreditiloj. La instalilo rulas kun kia ajn aŭtoritato vi donas al ĝi, kaj tiu aŭtoritato estas la limo.

Skribu, kiun limon vi akceptis

Finu per frazo, kiu nomas kvar aferojn: la fidindan lokan kodon, la permesitan foran aliron, la protektitajn aplikaĵajn datumojn kaj la restantan rilaton kun la operatoro. Tiu frazo valoras pli ol ĝenerala aserto, ke VM, operaciumo aŭ kontraŭvirusa produkto igis malamikan reton sekura.

Poste konfirmu, ke la mallarĝa operacio funkcias kaj ke la postulata rifuzo ankoraŭ validas, ankaŭ post kiam la tunelo falas. Limo, kiu ekzistas nur dum la tunelo staras, ne estas la limo, kiun vi dokumentis.

Neniu testo pruvas, ke ĉiu vundebleco forestas, kaj revizio asertanta la malon troigas. La honesta rezulto nomas la restantan riskon kaj la personon, kiu akceptis ĝin.