VPN ez-fidagarria hiru muga bereizi dira, ez bat

«Ez dut VPN honetan fidatzen» normalean esaldi bakarrean jantzitako hiru baieztapen dira. Sare hartako urruneko pareek zure ostalariko zerbitzuetara iritsi daitezke, tunela kudeatzen duen operadoreak hortik igarotzen den trafikoa ikus dezake, eta instalatu duzun bezero-softwareak zure makinaren sare-politika alda dezake. Zuzendu beharreko sinesmena da sute-hormako arau batek, makina birtual batek edo sistema eragilearen hautaketa arretatsu batek hirurei erantzuten diela. Neurri bakoitzak horietako bati erantzuten dio zehazki.

Mitoa: kontrol batek arrisku osoa estaltzen du

Uste arrunta da sare ez-fidagarri batera bat egitea erabaki bakarra dela, arintze bakarrarekin. Jendeak jada fidatzen duen kontrola hautatzen du, aplikatu egiten du eta arriskua itxitzat jotzen du: sute-horma piztuta dago, lan-eremua erabilera bakarrekoa da, bezeroa hornitzaile entzutetsu batena da.

Kontrol horiek ez dira usteak dioen bezala gainjartzen. Ostalariaren sute-hormak urruneko pare bat irits daitekeenera mugatzen du, eta ezer ez du egiten zure TLS amaitzen duen operadore baten aurka. Makina birtual batek lan-eremua zure ostalariaren fitxategietatik bereizten du, eta ezer ez du egiten bietan azpian dagoen sare-pila berkonfiguratzeko baimena duen bezero-osagai baten aurka. Kontrol bakoitzak benetan sortzen duen muga izendatzea da ariketa osoa.

Haiek bereizteak zein arrisku onartzea aukeratu duzun ere esaten dizu. Erabaki erreal gehienek muga bat arintzen dute eta bestea jasaten dute, eta hori ondo dago aldaketaren erregistroak zein den zein esaten duen bitartean.

Zer irits dezakeen urruneko pareak benetan

Hasi entzuten ari diren zerbitzuekin. Paketeak zifratuta iritsi direlako oso fidagarritzat hartzen den tunel-interfazea ohiko akatsa da, eta sare hartako beste edonorentzat entzule lokal bakoitza helburu posible bihurtzen du. Zifratzeak bi muturren arteko kablea babesten du; ez du ezer esaten beste aldeko parearen asmoaz.

ss -tulpn
sudo nft list ruleset
ip -br addr

Lotu zerbitzuak behar duten helbidera, interfaze guztietara beharrean, eta baimendu onartutako zereginak eskatzen dituen eragiketak soilik. Egon bidaltzea, zubia eta aplikazioen proxya esplizitu, bi sare-konexiok beren kabuz ez baitute trantsitu-biderik sortzen, baina proxy-arau batek bai.

Onartutako erabilera bakarreko lan-eremuak urruneko sareak irits dezakeena murrizten du, baina soilik bere partekatze-konfigurazioak baieztapenarekin bat egiten duenean. Partekatutako karpetek, arbela-integrazioak, kredentzial-agenteek eta kudeaketa-kanalek lan-eremuak sortu behar zuen muga zeharkatzen dute. Lan-eremuaren etiketak ez du ezer frogatzen horietatik zein dagoen irekita.

NISTen konfiantza zeroko arkitektura horren guztiaren atzean dagoen printzipioa adierazten du: sare-kokapenak soilik ez du konfiantza inpliziturik ematen. Baliabideen autentifikazioak oraindik lana du tunela onartu ondoren, eta sare hori nor gehiagok partekatzen duen galderak ere bai.

Zer ikus dezakeen bideko operadoreak

VPN batek zure trafikoa bideko beste toki batera eramaten du; ez du aplikazioen zifratzerik gehitzen. Hornitzaileak zure TLS amaitzen badu, hornitzaileak zure nabigatzaileak bestela babestuko zukeena irakur dezake, eta inolako sute-hormako arau lokalek ez du hori aldatzen.

Mantendu ziurtagirien baliozkotze arrunta benetako helmugarako eta ulertu ebazlearen eta metadatuen bidea, DNS kontsulta batek beraren aurretik doan karga baino gehiago ager baititzake. Metadatuek bakarrik, hau da, zein helbiderekin eta noiz harremanetan jarri zinen, askotan operadorearen galderari erantzuten diote edukia irakurtzeko beharrik gabe. Horregatik «trafikoa zifratuta dago» eta «trafikoa pribatua da» baieztapen desberdinak dira.

Ikusteko modu hori zereginarentzat onartezina bada, erantzuna beste arkitektura onartu bat da, eta ez filtraketa lokal gehiago. Filtraketa lokalak ezin du behatzailea oraindik esertzen den bide batetik kendu.

Zer alda dezakeen bezero lokalak

Hau da jendeak ahazten duen muga, eta beste biak alferrikako egiten dituena. Linuxen, CAP_NET_ADMIN gaitasunak interfazeen konfigurazioa, sute-hormaren administrazioa eta bide-aldaketak hartzen ditu bere sare-testuinguruan. Gaitasun hori duen softwareak oraintxe idatzi duzun politika berridatz dezake.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Sare-izen-espazioa sare-egoerarako muga erreala da eta beste guztirako eskasa: ez du fitxategi-sistema edo kredentzial-biltegia isolatzen. Hartu geruza bat bezala, eta ez arazo osoaren edukiontzi bezala.

Lortu bezeroa eta haren konfigurazioa mantendutako iturri batetik, berrikusi eskatzen duen autoritatea, eta mantendu osagai pribilegiatuak administratzailearen kontrolpean. Makina birtual bat ebaluazio-muga kualifikatu baten parte izan daiteke, kredentzial baliotsuen ondoan azaldu gabeko instalatzaile bat exekutatzeko baimena bihurtu gabe. Instalatzailea ematen diozun autoritatearekin exekutatzen da, eta autoritate hori da muga.

Idatzi zein muga onartu duzun

Amaitu lau gauza izendatzen dituen esaldi batekin: kode lokal fidagarria, baimendutako urruneko sarbidea, babestutako aplikazio-datuak eta geratzen den operadore-harremana. Esaldi horrek gehiago balio du VM batek, sistema eragile batek edo antibirus-produktu batek sare etsai bat seguru bihurtu duela dioen baieztapen orokorrak baino.

Ondoren egiaztatu eragiketa estuak funtzionatzen duela eta eskatutako ukoak oraindik eusten duela, tunela erori ondoren ere. Tunela altxatuta dagoen bitartean bakarrik existitzen den muga ez da dokumentatu duzun muga.

Inongo probak ez du frogatzen zaurgarritasun guztiak falta direnik, eta kontrakoa dioen berrikuspenak gehiegizkoa dio. Irteera zintzoak gainerako arriskua eta hura onartu zuen pertsona izendatzen ditu.