Mitä vastaanotettu VPN-profiili voi muuttaa laitteessasi

Kun annat asiakkaallesi VPN-profiilin, annat sille jonkun muun kirjoittaman kokoonpanon, jonka ohjelma sitten suorittaa koneellasi. Sen tuonti voi muuttaa sitä, minne katettu liikenne menee, mihin vastapuoleen laitteesi luottaa ja joissakin muodoissa sitä, mitkä paikalliset ohjelmat käynnistyvät, kun tunneli nousee. Tiedosto ei ole kirjanmerkki; se on pieni ohjelma deklaratiivisessa muodossa.

Lue se niin kuin lukisit komentotulkin skriptin samasta lähteestä.

Asiakas tulkitsee sen, ei sinä

Jokainen tiedoston kenttä on ohje tietylle asiakkaalle. Päätepiste ja protokolla päättävät, minne tunneli menee, todennuslohko päättää, mitä salaisuutta vaaditaan, ja reittiohjeet päättävät, mitä siihen tulee. Varmenteet tai yksityinen avain voivat olla upotettuina lohkoina sen sijaan, että niihin viitattaisiin tiedostoina, ja siksi yksi tekstitiedosto joskus kuljettaa kaiken tarvittavan, jotta joku voi esiintyä sinuna yhdyskäytävälle. Juuri tämä ominaisuus tekee tavallisesta tiedostojen jakamisesta niin vaarallista.

OpenVPN-profiilit voivat kuljettaa myös skriptikoukkuja, liitännäispolkuja ja suojaustason, joka määrää, saavatko nämä koukut käynnistyä. Juuri tämä yhdistelmä tekee tuntemattomasta profiilista lukemisen arvoisen rivi riviltä sen sijaan, että siihen kaksoisklikattaisiin. Asiakas tekee täsmälleen sen, mitä tiedosto sanoo, ja tekee sen sinun oikeuksillasi.

Reittimuutokset näkyvät yhden yhteyden jälkeen

Täystunnelin profiili asentaa reitit, jotka lähettävät kaiken yhdyskäytävän kautta, kun taas jaetun tunnelin profiili lähettää vain valitut etuliitteet. Jotkin profiilit työntävät myös DNS-palvelimen, mikä muuttaa hiljaa sitä, kuka näkee kyselysi. Mikään tästä ei ole itsessään haitallista, eikä mikään tästä ole ilmeistä tiedoston nimestä.

Vertaa reititystaulukkoa ennen ensimmäistä yhteyttä ja sen jälkeen, niin näet aikomuksen yhdellä silmäyksellä. Profiili, jota mainostetaan pääsynä yhteen sisäiseen sovellukseen mutta joka asentaa laajemman oletusreitin, kertoo sinulle jotain tekijästään.

Luottamusaineisto ja koukut kantavat todellisen painon

Profiili voi antaa VPN-asiakkaalle luottamustietoja, ja alustan kokoonpanopaketti voi mennä pidemmälle ja asentaa varmenteen tai juuren järjestelmän säilöön. Nämä ovat eri laajuuksia, joilla on eri seuraukset. Asiakkaan laajuinen tapaus vaikuttaa yhden sovelluksen vahvistukseen; järjestelmänlaajuinen tapaus vaikuttaa kaikkeen, mikä käyttää alustan luottamussäilöä.

Skriptikoukut ja liitännäiset ovat toinen puoli. Direktiivi, joka suorittaa komennon yhdistettäessä, tai asiakasprosessiin ladattu liitännäinen, omaa sinun oikeutesi eikä mitään asiakkaan eristyksestä. Jos profiili, jota et pyytänyt, sisältää sellaisen, se on kysymys sen lähettäjälle.

Kumpikaan luokka ei ole automaattisesti vihamielinen. Yrityskäyttöönotot käyttävät molempia. Asia on siinä, että kumpikin vaatii selityksen, jonka voit tarkistaa.

Varmista alkuperä ja syötä sitten salaisuus

Selvitä, kuka tiedoston julkaisi, kanavaa pitkin johon jo luotat, ei sen viestin kautta joka sen toimitti. Vertaa päätepisteen ja varmenteen tietoja operaattorin julkaisemaan dokumentaatioon. Jos profiili saapui pyytämättä, hanki uusi suoraan operaattorilta sen sijaan että korjaisit sinulle annettua kopiota. Kysy, mitä asiakasversiota operaattori tukee, koska toinen asiakas voi tulkita saman tiedoston eri tavalla.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Älä koskaan laita salasanaa selittämättömään kenttään nähdäksesi toimiiko se, äläkä koskaan hyväksy tuntematonta oikeuspyyntöä vain saadaksesi tuonnin valmiiksi. Onnistunut yhteys todistaa, että päätepiste vastasi, ei muuta.

Poista tuotu kopio, ei latausta

Asiakkaat kopioivat profiilin omaan säilöönsä, joten ladatun tiedoston poistaminen jättää tuodun yhteyden aktiiviseksi. Poista se asiakkaan omasta käyttöliittymästä ja tarkista, että myös tuonnin aikana lisätty varmenne on poissa. Vahvista sitten, että myös asennetut reitit ovat poissa.

Jos varmenne asennettiin järjestelmänlaajuisesti, profiilin poistaminen ei riitä. Se siivous kuuluu alustan luottamuksenhallintaan, ja se kannattaa tehdä tarkoituksella sen sijaan, että toivoisi seuraavan uudelleenkäynnistyksen hoitavan sen.