Tuntemattomat OVPN-tiedostot: paikallinen riski ja etäluottamus

Kohtele OVPN-tiedostoa ohjelman syötteenä, älä todisteena siitä, että sen sisältö on vaaratonta. Palvelimen osoitteen tarkistaminen vastaa vain siihen, mihin profiili haluaa yhdistää, eikä mihinkään muuhun. Tiedoston sisällä on kaksi erillistä luottamuspäätöstä: mitä asiakasohjelma saa tehdä koneellasi ja mikä operaattori vastaanottaa liikenteen. Tuttu protokollan nimi ei ratkaise kumpaakaan.

Kaksi päätöstä piiloutuu yhteen tiedostoon

Ensimmäinen päätös on paikallinen. Profiili on konfigurointikieli, ja sitä lukeva asiakasohjelma voi tukea direktiivejä, jotka lataavat liitännäisen, ajavat skriptin tai muuttavat sitä, miten reititystä ja DNS:ää sovelletaan. Toinen päätös on etäinen. Mitä tahansa tiedosto sisältääkin, lähtöoperaattori näkee liikenteen, joka sinne saapuu.

Näiden kahden sekoittaminen tuottaa huonoa neuvoa molempiin suuntiin: siistin näköinen profiili tuntemattomalta operaattorilta tai tunnetun operaattorin profiili koukulla, jota kukaan ei lukenut. Paikallisesti turvallinen profiili voi silti antaa liikenteesi jollekulle, jota et valitsisi.

Lue profiili ennen kuin mikään asiakasohjelma tekee niin

Lue tiedosto tekstinä ennen kuin mikään asiakasohjelma käsittelee sen. Etsi direktiivejä, jotka osoittavat tiedoston ulkopuolelle, viittaavat suoritettaviin tiedostoihin tai muuttavat käyttöoikeuksia, ja vertaa luetteloa asiakasohjelman dokumentoituun tukeen. Lyhyt haku ei ole tietoturvatarkastus, mutta se kertoo, onko profiili palvelinluettelo vai jotain enemmän.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Tyhjä tulos on rauhoittava eikä ratkaiseva, koska asetukset voivat vaikuttaa toisiinsa tai tulla mukana liitetystä tiedostosta. Pidä suodatettua luetteloa syynä jatkaa lukemista, älä tuomiona.

Profiilin mukana tulevat ohjeet ansaitsevat saman tarkastelun kuin profiili. Neljän pyynnön pitäisi pysäyttää sinut: skriptien käyttöönotto, apuohjelman tai kirjaston asentaminen, asiakasohjelman ajaminen järjestelmänvalvojana tai tuontirajoituksen heikentäminen. Jokainen niistä siirtää luottamusrajaa ulospäin, eikä mikään ole tavallinen osa palvelinluettelon tuontia.

Lue myös koko tiedosto kerralla, koska yksittäistä tuntematonta riviä on helpompi arvioida asiayhteydessä kuin suodatetussa luettelossa. Jos rivi on tuntematon, etsi se asiakasohjelmasi käsikirjasta sen sijaan, että arvaisit.

Mitä asiakasohjelma todella suorittaa

Community OpenVPN:n 2.6-käsikirja dokumentoi script-security-portaat: taso 1 on oletus ja estää käyttäjän määrittämät skriptit, kun taas taso 2 sallii ne. Liitännäisten lataaminen on erillinen mekanismi omalla direktiivillään. Siksi sama tiedosto voi tarkoittaa eri asioita eri asiakasohjelmissa. Mobiili- ja valmistajakohtaiset asiakasohjelmat voivat hyväksyä kapeamman joukon direktiivejä tai ei yhtään koukkua.

Käynnistystapa merkitsee yhtä paljon kuin asiakasohjelma. Etuoikeutetun apuohjelman käynnistämä profiili voi tehdä enemmän kuin käyttäjän tilassa käynnistetty, ja tämä ero on syy lukea tuontikehote sen sivuuttamisen sijaan.

Myös versiolla on merkitystä, koska nämä tasot määritellään julkaisukohtaisesti, eikä useita versioita jäljessä oleva asiakasohjelma välttämättä toteuta samaa käytäntöä. Lue käsikirja, joka vastaa ajamaasi buildia, älä uusinta jonka löydät. Jos asiakasohjelma ei näytä versiomerkkijonoa missään, se on jo syy hidastaa.

Vertaa operaattoria, älä vain osoitetta

Vertaa operaattoreita niin kuin vertaat mitä tahansa muuta välittäjää. Kysy, kuka ylläpitää lähtöä, mitä he kirjaavat ja miten profiili päätyi sinulle. Vahvistettu lataussivu ja täsmäävä sormenjälki sanovat enemmän kuin tuttu isäntänimi. Tavoitettavissa oleva palvelin todistaa vain, että jokin vastasi.

Tunnistetiedot ovat se osa, jossa ihmiset paineen alla erehtyvät. Älä kirjoita asiaankuulumattoman tilin salasanaa ladattuun profiiliin siksi, että palvelimen nimi näyttää tutulta. Profiili voi myös sisältää yksityisen avaimen avoimesti, joten koko tiedoston julkaiseminen arvosteluketjussa luovuttaa avaimen ketjulle.

Asianmukaisesti vahvistettu HTTPS-istunto kätkee edelleen sivun sisällön kaikilta, jotka vain välittävät paketteja, joten lähtö ei näe automaattisesti jokaista salasanaa. Se näkee kyllä, mille sivustoille pääset, ja tämä raja kannattaa kertoa tarkasti liioittelematta.

Kun tiedoston alkuperä jää epäselväksi tai sen vaatimalle oikeudelle ei ole selitystä, jonka voisit hyväksyä, korvaa profiili sellaisella, joka tulee vastuuseen vedettävästä lähteestä. Hallitussa työyhteydessä järjestelmänvalvojan tulisi hyväksyä asiakasohjelma ja kokoonpano yhtenä päätöksenä, ei kahtena. Mikään tässä ei vaadi, että todistat ensin pahantahtoisuuden; pääsyn epääminen on oikeutettu vastaus.