Tundmatud OVPN-failid: kohalik risk ja usaldus kaugelt

Käsitlege OVPN-faili programmi sisendina, mitte tõendina, et selle sisu on kahjutu. Serveri aadressi kontrollimine vastab ainult sellele, kuhu profiil tahab ühenduda, ja mitte millelegi muule. Selles failis on kaks eraldi usaldusotsust: mida klient tohib teie masinas teha ja milline operaator saab liikluse. Tuntud protokolli nimi ei lahenda kumbagi.

Ühes failis peitub kaks otsust

Esimene otsus on kohalik. Profiil on konfiguratsioonikeel ja seda lugev klient võib toetada direktiive, mis laadivad pistikprogrammi, käivitavad skripti või muudavad, kuidas marsruutimist ja DNS-i rakendatakse. Teine otsus on kaugemal. Ükskõik mida fail sisaldab, väljundoperaator näeb liiklust, mis temani jõuab.

Kahe segamine annab halba nõu mõlemas suunas: puhtana näiv profiil tundmatult operaatorilt või tuntud operaatori profiil konksuga, mida keegi ei lugenud. Kohapeal turvaline profiil võib ikkagi anda teie liikluse kellelegi, keda te ei valiks.

Lugege profiili enne, kui seda teeb ükskõik milline klient

Lugege faili tekstina enne, kui ükskõik milline klient seda töötleb. Otsige direktiive, mis osutavad väljapoole faili, viitavad käivitatavatele failidele või muudavad õigusi, ja võrrelge seda loendit kliendi dokumenteeritud toega. Lühike otsing ei ole turbekontroll, aga see ütleb, kas profiil on serverite loend või midagi enamat.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Tühi tulemus on rahustav ja mitte lõplik, sest valikud võivad koostoimida või tulla kaasatud failist. Käsitlege filtreeritud loendit põhjusena edasi lugeda, mitte otsusena.

Profiiliga kaasas olevad juhised väärivad sama tähelepanu kui profiil. Neli palvet peaksid teid peatama: skriptide lubamine, abiprogrammi või teegi paigaldamine, kliendi käivitamine administraatorina või impordipiirangu nõrgendamine. Igaüks neist nihutab usalduspiiri väljapoole ja ükski ei ole serverite loendi importimise tavaline osa.

Lugege kord ka kogu faili tervikuna, sest ühte tundmatut rida on kontekstis lihtsam hinnata kui filtreeritud loendis. Kui rida on tundmatu, otsige see üles oma kliendi käsiraamatust, selle asemel et oletada.

Mida klient tegelikult käivitab

Community OpenVPN-i 2.6 käsiraamat dokumenteerib script-security astmed: tase 1 on vaikeväärtus ja blokeerib kasutaja määratud skriptid, samas kui tase 2 lubab need. Pistikprogrammide laadimine on eraldi mehhanism oma direktiiviga. Seetõttu võib sama fail eri klientides tähendada erinevaid asju. Mobiili- ja tootjakliendid võivad aktsepteerida kitsamat direktiivide kogumit või üldse mitte ühtegi konksu.

Käivitamisviis loeb sama palju kui klient. Privilegeeritud abiprogrammi käivitatud profiil võib teha rohkem kui kasutajaruumis käivitatud profiil, ja see erinevus on põhjus lugeda impordiviipa, mitte see kõrvale jätta.

Ka versioon loeb, sest need tasemed on määratletud iga väljalaske jaoks ja mitu versiooni maas olev klient ei pruugi sama poliitikat rakendada. Lugege käsiraamatut, mis vastab teie jooksutatavale buildile, mitte kõige uuemat, mille leiate. Kui klient ei näita kuskil versioonistringi, on see juba põhjus aeglustada.

Võrrelge operaatorit, mitte ainult aadressi

Võrrelge operaatoreid nii, nagu võrdlete ükskõik millist muud vahendajat. Küsige, kes väljundit haldab, mida nad logivad ja kuidas profiil teieni jõudis. Kinnitatud allalaadimisleht ja sobiv sõrmejälg ütlevad rohkem kui tuntud hostinimi. Kättesaadav server tõestab ainult seda, et miski vastas.

Sisselogimisandmed on see osa, millega inimesed surve all eksivad. Ärge tippige mitteseotud konto parooli alla laaditud profiili, sest serveri nimi tundub tuttav. Profiil võib kanda ka privaatvõtit avatud kujul, nii et kogu faili postitamine ülevaate lõimesse annab selle võtme lõimele.

Korralikult valideeritud HTTPS-sessioon varjab endiselt lehe sisu igaühe eest, kes ainult pakette edasi saadab, nii et väljund ei näe automaatselt iga parooli. See näeb küll, millistele saitidele jõuate, ja seda piiri tasub väljendada täpselt, mitte liialdada.

Kui faili päritolu jääb ebaselgeks või selle nõutaval õigusel pole teile vastuvõetavat selgitust, asendage profiil sellisega, mis pärineb allikast, keda saab vastutusele võtta. Hallataval tööühendusel peaks administraator kinnitama kliendi ja konfiguratsiooni ühe otsusena, mitte kahena. Miski siin ei nõua, et te kõigepealt pahatahtlikkust tõestaksite; juurdepääsust keeldumine on legitiimne vastus.