Mida üle antud VPN-profiil sinu seadmes muuta võib

Kui annad kliendile VPN-profiili, annad sellele kelleltki teiselt kirjutatud seadistuse, mida see programm seejärel sinu masinas käivitab. Selle importimine võib muuta, kuhu kaetud liiklus läheb, millist vastaspoolt sinu seade usaldab ja mõnedes vormingutes seda, millised kohalikud programmid tunnelil käivituvad. Fail ei ole järjehoidja; see on väike programm deklaratiivses vormingus.

Loe seda nii, nagu loeksid samast allikast pärit kestaskripti.

Seda tõlgendab klient, mitte sina

Iga väli failis on juhis kindlale kliendile. Lõpp-punkt ja protokoll otsustavad, kuhu tunnel läheb, autentimise plokk otsustab, millist saladust nõutakse, ja marsruudijuhised otsustavad, mis sinna sisse läheb. Serdid või privaatvõti võivad olla manustatud plokkidena, mitte failidele viidatud, ja seepärast kannab üks tekstifail mõnikord kõike vajalikku, et end lüüsi ees sinuna esitleda. Just see omadus teeb juhusliku failijagamise nii ohtlikuks.

OpenVPN-i profiilid võivad kanda ka skriptikonksusid, pistikprogrammide radu ja turbetaset, mis määrab, kas need konksud tohivad käivituda. Just see kombinatsioon teeb tundmatu profiili lugemist väärt rea haaval, selle asemel et sellel topeltklõpsata. Klient teeb täpselt seda, mida fail ütleb, ja teeb seda sinu õigustega.

Marsruudimuudatused on nähtavad pärast üht ühendust

Täistunneli profiil paigaldab marsruudid, mis saadavad kõik läbi lüüsi, samas kui poolitatud tunneli profiil saadab ainult valitud prefikseid. Mõned profiilid lükkavad ka DNS-serveri peale, mis muudab vaikselt, kes sinu päringuid näeb. Miski sellest ei ole iseenesest pahatahtlik ja miski sellest ei ole failinimest ilmne.

Võrdle marsruuditabelit enne ja pärast esimest ühendust ning näed kavatsust ühe pilguga. Profiil, mida reklaamitakse juurdepääsuna ühele sisemisele rakendusele, kuid mis paigaldab laiema vaikimisi marsruudi, ütleb sulle oma autorist midagi.

Usaldusmaterjal ja konksud kannavad tegelikku kaalu

Profiil võib anda VPN-kliendile usaldusinfot, ja platvormi seadistuspakett võib minna kaugemale ning paigaldada serdi või juure süsteemi hoidlasse. Need on erinevad ulatused erinevate tagajärgedega. Kliendiulatuse juhtum mõjutab ühe rakenduse valideerimist; süsteemiulatuse juhtum mõjutab kõike, mis kasutab platvormi usaldushoidlat.

Skriptikonksud ja pistikprogrammid on teine pool. Direktiiv, mis käivitab ühendamisel käsu, või kliendiprotsessi laaditud pistikprogramm, omab sinu õigusi ja mitte midagi kliendi isoleeritusest. Kui profiil, mida sa ei küsinud, sisaldab sellist, on see küsimus sellele, kes selle saatis.

Kumbki kategooria ei ole automaatselt vaenulik. Ettevõttejuurutused kasutavad mõlemat. Mõte on selles, et kumbki nõuab selgitust, mida saad kontrollida.

Kontrolli päritolu, seejärel sisesta saladus

Tee kindlaks, kes faili väljastas, kanali kaudu, mida sa juba usaldad, mitte sõnumi kaudu, mis selle kohale toimetas. Võrdle lõpp-punkti ja serdi üksikasju operaatori avaldatud dokumentatsiooniga. Kui profiil saabus küsimata, hangi uus otse operaatorilt, selle asemel et parandada kätte antud koopiat. Küsi, millist kliendiversiooni operaator toetab, sest sama faili võib teine klient teisiti tõlgendada.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Ära kunagi pane parooli selgitamata väljale, et näha, kas see töötab, ja ära kunagi nõustu tundmatu õiguste küsimusega ainult impordi lõpetamiseks. Edukas ühendus tõestab, et lõpp-punkt vastas, mitte enamat.

Eemalda imporditud koopia, mitte allalaaditud fail

Kliendid kopeerivad profiili oma hoidlasse, seega allalaaditud faili kustutamine jätab imporditud ühenduse aktiivseks. Eemalda see kliendi enda liidese kaudu ja kontrolli, kas impordi ajal lisatud sert on samuti kadunud. Seejärel kinnita, et ka paigaldatud marsruudid on kadunud.

Kui sert paigaldati süsteemiulatuses, ei piisa profiili eemaldamisest. See koristus kuulub platvormi usalduse haldamise juurde ja seda tasub teha teadlikult, selle asemel et loota järgmisele taaskäivitusele.