VM baten barruko VPN batek ezkuta dezake trafikoa ostalaritik?

Bezeroa makina birtual baten barruan instalatzen duzu, tunela altxatzen da eta gonbidatuaren trafikoa zifratu egiten da. Horrek zerbait balio du makina kanpoko sarearen aurka. Askoz gutxiago erosten du gonbidatua exekutatzen duen sistema eragilearen aurka, hark gonbidatuaren memoria irakurri eta haren pantaila behatu baitzake. Beheko egiaztapenek bereizten dute tunelak zer babesten duen eta ostalarik zer gordetzen duen.

Ostalarik testu arrunta irakurtzen du tunelak baino lehen

Mahaigaineko hiperbisore batek gonbidatuari PUZ denbora ematen dio eta hark idazten duen memoria irakur dezake, nabigatzaileak oraintxe deszifratu duen orria barne. Ostalariko monitorizazio tresna batek testu arrunta irakurtzen du zifratuari eraso egin gabe, eta maila bereko teklatu-erregistratzaile batek tekla-sakatzeak biltzen ditu edozein bezerok bildu aurretik. Horietako ezein ez da VPN hautsi bat behar, beraz tunel garbi bat ostalari instrumentatu baten ondoan egon daiteke.

Posizio horrek ez du ematen urrutiko muturreko gakoak, ezta beste muturrek muturretik muturrera babesten duen edukia ere. Tunelak zeharkatzen duen sarearen aurka eusten du oraindik; hutsunea lokala da.

Artefaktuek saioa baino gehiago irauten dute

Pausatu VirtualBox gonbidatu bat eta haren ondoan .sav fitxategi bat agertzen da gordetako memoria-egoerarekin. VMwarek .vmem eta .vmsn fitxategiak uzten ditu esekitzean eta snapshot lanetan, eta Hyper-V kontrol-puntuek .avhdx disko diferentzialak hazten dituzte ostalariaren bolumenean. Fitxategi horietako bat ere ez du gonbidatuaren disko-zifratzeak zifratzen. Ostalariaren orrialde-fitxategiak hiperbisoreak kanporatutako orriak ere jaso ditzake, Tails-ek bere birtualizazio gidan ohartarazten duen arrastoa. Egiaztatu hiperbisoreak snapshotak gordetzen dituen eta ostalariaren swap-a bolumen zifratuan dagoen.

Erabaki fitxategi horientzako atxikipen-arau bat, lehenetsia fidatu ordez, hark norbaitek ezabatu arte gordetzen baititu. Saio amnesikoa iragartzen duen gonbidatu batek ez du horretatik ezer aldatzen; ostalarik idazten du fitxategia, beraz ostalariaren politika da nagusi. Ezin baduzu esan non bizi diren snapshotak edo nork ireki ditzakeen, gonbidatuaren diseinua ez da ebaluatu.

Disko-zifratzeak kasu estuagoa estaltzen du

Gonbidatuaren diskoa zifratzeak atsedenean dagoen irudi bat babesten du, beste makina batera eramandako bolumen bat edo ihes egiten duen babes-kopia bat. Ez du ezer egiten gonbidatua exekutatzen ari den bitartean, hiperbisoreak memoria gonbidatuak deszifratu ondoren irakurtzen baitu. Hartu pasahitza gordetako kopien babes gisa, VM exekutatzen duen makinaren aurkako ezkutu gisa baino.

Gakoak eta exekuzio bizia galdera bereiziak dira. Ostalaripeko edo partekatutako ingurune batean hornitzaileak irudiaren gakoak eduki ditzake, gonbidatua zuk inoiz ikuskatzen ez duen hardwarean exekutatzen duen bitartean, beraz idatzi bi erantzunak.

Garraioa ez da ikuspegi bera

Gonbidatuaren tunela daramanak kanpoko muturrak, denbora eta bolumena ikusten ditu, karga erabilgarria itxita egon arren. Forma horretako metadatuak askotan behatzaileak benetan duen galderari erantzuten dio, beraz hartu esposizioaren parte gisa, zarata gisa baino. Egokigailuaren moduak eta bideratzeak erabakitzen dute ostalari mailako VPN arauek gonbidatuaren trafikoa ukitzen duten ala ez.

Probatu hori gonbidatuaren barrutik, ez ostalariko nabigatzaile batetik. Ostalariaren nabigatzailea estalita egon daiteke gonbidatua zuzenean kanpora zubikatuta dagoen bitartean, eta biek konexio bat parteka dezakete bide desberdinak erabiliz. Idatzi egokigailuaren modua, eta gero begiratu harrapaketa bat ostalariaren interfaze fisikoan, suposizio batean fidatu ordez.

Txikitu zeharkaldiak, gero idatzi erregistroa

Exekutatu gonbidatua zuk kontrolatzen duzun hardwarean, mantendu hiperbisorea adabakiz eta gaitu karpeta partekatuak, arbeleko partekatzea eta arrastatu eta jaregin lanak behar dituen lekuetan soilik. Bakoitza ostalariaren eta gonbidatuaren arteko kanal bat da, eta bidaltzen den lehenetsia lanak eskatzen duena baino irekiagoa izan ohi da. Itzali erabiltzen ez dituzun gonbidatu gehigarriak, eta gero egiaztatu ezarpenek berrabiaraztea gainditzen dutela, beraz eguneratze batek desgaitu zenuena berrezar baitezake.

Urrats hauek zeharkaldiak estutzen dituzte; ez dute gonbidatua konfiantza-muga fisiko bereizi bihurtzen. Gogortutako VM bat halakotzat hartzea da arrisku-ebaluazioek huts egiten duten lekua.

Lan sentikorrerako, idatzi trafikoa nola bideratzen den eta zein tokiko sistemak exekutatzen eta gordetzen duten karga-lana. Gehitu nork kontrolatzen duen ostalaria eta zein fitxategik irautzen duten saioaren ondoren. Tunela soilik zerrendatzen duen pribatutasun-ohar batek akordioaren erdia deskribatzen du.