Ebausaldusväärne VPN on kolm eraldi piiri, mitte üks

„Ma ei usalda seda VPN-i“ on tavaliselt kolm väidet ühes lauses. Selle võrgu kaugpartnerid võivad jõuda sinu hosti teenusteni, tunnelit käitav operaator võib näha sealt läbivat liiklust ja paigaldatud klienditarkvara võib muuta sinu masina võrgupoliitikat. Uskumus, mida tasub parandada, on see, et tulemüürireegel, virtuaalmasin või hoolikas operatsioonisüsteemi valik vastab kõigile kolmele. Iga meede vastab täpselt ühele neist.

Müüt: üks kontroll katab kogu riski

Levinud eeldus on, et ebausaldusväärse võrgustikuga liitumine on üks otsus ühe leevendusega. Inimesed valivad kontrolli, mida nad juba usaldavad, rakendavad selle ja peavad riski lahendatuks: tulemüür on sees, tööruum on ühekordne, klient pärineb mainekalt tarnijalt.

Need kontrollid ei kattu nii, nagu eeldus vihjab. Hostipõhine tulemüür piirab, kuhu kaugpartner jõuab, ja ei tee midagi operaatori vastu, kes sinu TLS-i lõpetab. Virtuaalmasin eraldab tööruumi sinu hostifailidest ega tee midagi kliendikomponendi vastu, millel on lubatud mõlema all olevat võrgupinut ümber seadistada. Iga kontrolli tegelikult loodava piiri nimetamine ongi kogu harjutus.

Nende eraldamine ütleb sulle ka, millise riski oled valinud aktsepteerida. Enamik tegelikke otsuseid leevendab üht piiri ja talub teist, mis on korras seni, kuni muudatuse kirje ütleb, milline on milline.

Mida kaugpartner tegelikult kätte saab

Alusta kuulavatest teenustest. Tunneliliidest, mida peetakse laialdaselt usaldusväärseks, sest selle paketid saabusid krüpteeritult, on tavaline viga, ja see muudab iga kohaliku kuulaja selle võrgu teiste jaoks võimalikuks sihtmärgiks. Krüpteerimine kaitseb juhet kahe otspunkti vahel; see ei ütle midagi teisel pool oleva partneri kavatsuse kohta.

ss -tulpn
sudo nft list ruleset
ip -br addr

Seo teenused aadressiga, mida nad vajavad, mitte iga liidesega, ja luba ainult toimingud, mida kinnitatud ülesanne nõuab. Hoia edastamine, sildamine ja rakenduse puhverserver eksplitsiitsed, sest kaks võrguühendust ei loo iseenesest läbipääsuteed, kuid puhverserveri reegel kindlasti võib.

Kinnitatud ühekordne tööruum vähendab seda, kuhu kaugvõrk jõuab, aga ainult siis, kui selle jagamise konfiguratsioon vastab väitele. Jagatud kaustad, lõikelauale integratsioon, mandaadiagendid ja halduskanalid ületavad kõik piiri, mille tööruum oleks pidanud looma. Tööruumi silt ei tõesta midagi selle kohta, millised neist on avatud.

NIST-i nullusalduse arhitektuur sõnastab põhimõtte, mis on kõige selle taga: ainult võrguasukoht ei anna kaudset usaldust. Ressursi autentimisel on tunnelisse lubamise järel endiselt tööd, ja ka küsimusel, kes veel seda võrku jagab.

Mida teel olev operaator näha võib

VPN viib sinu liikluse teise kohta teel; see ei lisa rakenduste krüpteerimist. Kui teenusepakkuja lõpetab sinu TLS-i, saab pakkuja lugeda seda, mida sinu brauser muidu oleks kaitsnud, ja ükski kohalik tulemüürireegel ei muuda seda.

Hoia tegeliku sihtkoha jaoks tavaline sertifikaadi valideerimine ja mõista resolveri ning metaandmete teed, sest DNS-päring võib paljastada rohkem kui sellele eelnev koormus. Ainuüksi metaandmed, st millistele aadressidele ja millal sa ühendust võtsid, vastavad sageli operaatori küsimusele ilma vajaduseta sisu lugeda. Sellepärast on „liiklus on krüpteeritud“ ja „liiklus on privaatne“ erinevad väited.

Kui see nähtavus on ülesande jaoks vastuvõetamatu, on vastuseks teine kinnitatud arhitektuur, mitte rohkem kohalikku filtreerimist. Kohalik filtreerimine ei saa eemaldada vaatlejat teelt, millel ta veel istub.

Mida kohalikul kliendil on lubatud muuta

See on piir, mille inimesed jätavad märkamata, ja just see teeb teised kaks mõttetuks. Linuxis katab CAP_NET_ADMIN liidese konfiguratsiooni, tulemüüri haldamist ja marsruudimuudatusi oma võrgukontekstis. Selle võimekusega tarkvara võib ümber kirjutada poliitika, mille sa just kirjutasid.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Võrgu nimeruum on võrguseisundi jaoks tõeline piir ja kõige muu jaoks halb: see ei isoleeri failisüsteemi ega mandaadihoidlat. Käsitle seda ühe kihina, mitte kogu probleemi konteinerina.

Hangi klient ja selle konfiguratsioon hooldatud allikast, vaata üle selle taotletav volitus ja hoia privilegeeritud komponendid administraatori kontrolli all. Virtuaalmasin võib olla osa kvalifitseeritud hindamispiirist, ilma et sellest saaks luba käivitada väärtuslike mandaatide kõrval seletamata paigaldajat. Paigaldaja töötab ükskõik millise volitusega, mille sa talle annad, ja see volitus ongi piir.

Kirjuta üles, millise piiri sa aktsepteerisid

Lõpeta lausega, mis nimetab nelja asja: usaldusväärne kohalik kood, lubatud kaugjuurdepääs, kaitstud rakenduse andmed ja allesjääv operaatorisuhe. See lause on väärt rohkem kui üldine väide, et VM, operatsioonisüsteem või viirusetõrjeprodukt muutis vaenuliku võrgu turvaliseks.

Seejärel kinnita, et kitsas toiming töötab ja nõutav keeldumine peab endiselt, ka pärast tunneli langemist. Piir, mis on olemas ainult siis, kui tunnel püsti on, ei ole piir, mille sa dokumenteerisid.

Ükski test ei tõesta, et iga haavatavus puudub, ja vastupidist väitev ülevaade liialdab. Aus väljund nimetab jääkriski ja selle aktsepteerija.