OVPN fitxategi ezezagunak: tokiko arriskua eta urrutiko konfiantza

Hartu OVPN fitxategia programa baten sarreratzat, ez bere edukia kaltegabea delako ziurtagiriretzat. Zerbitzariaren helbidea egiaztatzeak profila norako konektatu nahi duen erantzuten du soilik, eta besterik ez. Fitxategi horren barruan konfiantzazko bi erabaki daude bereizita: bezeroak zure makina gainean zer egin dezakeen eta zein operadorek jasotzen duen trafikoa. Protokolo-izen ezagun batek ez du bietako bat ere konpontzen.

Bi erabaki fitxategi bakarrean ezkutatzen dira

Lehen erabakia tokikoa da. Profila konfigurazio-hizkuntza da, eta irakurtzen duen bezeroak aginduak onar ditzake: plugina kargatu, script bat exekutatu edo bideratzea eta DNS nola aplikatzen diren aldatu. Bigarren erabakia urrutikoa da. Fitxategiak zer duen ere, irteerako operadoreak hara iristen den trafikoa ikusten du.

Bien arteko nahasteak okerreko aholkua ematen du bi norabideetan: itxura garbiko profila operadore ezezagun batetik, edo operadore ezagun baten profila inork irakurri ez duen kakoarekin. Tokian tokiko segurua den profil batek zuk aukeratuko ez zenukeen norbaiti eman diezaioke zure trafikoa.

Irakurri profila edozein bezerok egin aurretik

Irakurri fitxategia testu gisa edozein bezerok prozesatu aurretik. Bilatu fitxategitik kanpora seinalatzen duten, exekutagarrietara jotzen duten edo pribilegioak aldatzen dituzten aginduak, eta alderatu zerrenda hori bezeroaren dokumentatutako euskarriarekin. Bilaketa laburra ez da segurtasun-auditoria, baina esaten dizu profila zerbitzarien zerrenda den edo zerbait gehiago.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Emaitza hutsa lasaigarria da eta ez da erabakigarria, aukerek elkar eragin dezaketelako edo sartutako fitxategi batek eman ditzakelako. Hartu iragazitako zerrenda gehiago irakurtzeko arrazoitzat, ez epaitzat.

Profilarekin batera iristen diren jarraibideek profilak adina arreta merezi dute. Lau eskaerek geldiarazi behar zaituzte: scriptak gaitzea, laguntzaile edo liburutegi bat instalatzea, bezeroa administratzaile gisa exekutatzea, edo inportazio-murrizketa bat ahultzea. Bakoitzak konfiantza-muga kanporantz eramaten du, eta bat ere ez da zerbitzarien zerrenda bat inportatzearen ohiko zati.

Irakurri fitxategi osoa behin ere, lerro ezezagun bakarra errazago epaitzen delako testuinguruan iragazitako zerrendan baino. Lerroa ezezaguna bazaizu, begiratu bezeroaren eskuliburuan asmatu beharrean.

Zer exekutatuko duen bezeroak benetan

Community OpenVPN-en 2.6 eskuliburuak script-security mailak dokumentatzen ditu: 1. maila lehenetsia da eta erabiltzaileak definitutako scriptak blokeatzen ditu, eta 2. mailak haiek baimentzen ditu. Pluginak kargatzea bere agindu propioa duen mekanismo bereizia da. Horregatik fitxategi berak gauza desberdinak esan ditzake bezero desberdinetan. Mugikorreko eta fabrikatzaileen bezeroek agindu-multzo estuagoa onar dezakete, edo kakoetako bat ere ez.

Abiarazteko moduak bezeroak adina balio du. Pribilegiatutako laguntzaile batek abiarazitako profilak gehiago egin dezake erabiltzaile-espazioan abiarazitakoak baino, eta desberdintasun hori inportazio-abisua baztertu beharrean irakurtzeko arrazoia da.

Bertsioak ere badu garrantzia, maila hauek kaleratze bakoitzeko definitzen direlako eta hainbat bertsio atzerago dagoen bezero batek agian ez duelako politika bera ezartzen. Irakurri exekutatzen duzun buildari dagokion eskuliburua, aurkitzen duzun berriena ez. Bezeroak inon bertsio-katerik erakusten ez badu, hori jada moteltzeko arrazoia da.

Konparatu operadorea, ez helbidea soilik

Konparatu operadoreak beste bitartekari bat edozein konparatzen duzun bezala. Galdetu nork kudeatzen duen irteera, zer erregistratzen duten eta nola iritsi zen profila zuganaino. Egiaztatutako deskarga-orrialde batek eta hatz-marka egokiak host-izen ezagun batek baino gehiago esaten dute. Eskuragarri dagoen zerbitzari batek zerbait erantzun duela soilik frogatzen du.

Kredentzialak dira jendeak presiopean gaizki egiten duen zatia. Ez idatzi erlaziorik gabeko kontu baten pasahitza deskargatutako profil batean zerbitzariaren izena ezaguna iruditzen delako. Profilak gako pribatu bat ere eraman dezake agerian, beraz fitxategi osoa berrikuspen-hari batean argitaratzeak gako hori hariari ematen dio.

Behar bezala baliozkotutako HTTPS saio batek oraindik orrialdearen edukia ezkutatzen du paketeak soilik birbidaltzen dituen edonorengandik, beraz irteerak ez ditu pasahitz guztiak automatikoki ikusten. Baina badaki zein gunetara iristen zaren, eta muga hori zehaztasunez esatea merezi du, handizka ez.

Fitxategiaren jatorria argi ez dagoenean, edo eskatzen duen pribilegioak onar dezakezun azalpenik ez duenean, ordeztu profila kontuak eman behar dituen iturri batekin. Kudeatutako lan-konexio batean, administratzaileak bezeroa eta konfigurazioa erabaki bakar gisa onartu beharko lituzke, ez bi gisa. Hemen ezerk ez du eskatzen gaiztakeriarik lehenago frogatzea; sarbidea ukatzea erantzun zilegia da.