Unbekende OVPN-bestannen: pleatslik risiko en fertrouwen op ôfstân

Behannelje in OVPN-bestân as ynfier foar in programma, net as in sertifikaat dat syn ynhâld ûnskeadlik is. It kontrolearjen fan it serveradres beantwurdet allinnich wêr’t it profyl ferbine wol, en neat oars. Twa aparte fertrouwensbesluten sitte yn dat bestân: wat de klient op jo masine dwaan mei, en hokker operator it ferkear krijt. In bekend protokolnamm beslist gjin fan beide.

Twa besluten ferskûlje har yn ien bestân

It earste beslút is pleatslik. It profyl is in konfiguraasjetaal, en de klient dy’t it lêst kin rjochtlinen stypje dy’t in ynstekker lade, in skript rinne litte of feroarje hoe’t routing en DNS tapast wurde. It twadde beslút is op ôfstân. Wat it bestân ek befettet, de útgongsoperator sjocht it ferkear dat him berikt.

It betiizjen fan de beide jout ferkeard advys yn beide rjochtingen: in skjin útsjend profyl fan in ûnbekende operator, of it profyl fan in bekende operator mei in heak dy’t gjinien lêzen hat. In profyl dat pleatslik feilich is, kin jo ferkear noch hieltyd oan immen jaan dy’t jo net kieze soene.

Lês it profyl foardat hokker klient dan ek dat docht

Lês it bestân as tekst foardat hokker klient dan ek it ferwurket. Sykje nei rjochtlinen dy’t bûten it bestân wize, nei programma’s ferwize of privileezjes feroarje, en fergelykje dy list mei de dokumintearre stipe fan de klient. In koarte syktocht is gjin feiligensaudit, mar it fertelt jo oft it profyl in serverlist is of wat mear.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

In leech resultaat is gerêststellend en net beslissend, om’t opsjes mei-inoar ynteraksje kinne of troch in ynsluten bestân levere wurde. Besjoch de filtere list as in reden om fierder te lêzen, net as in fûnis.

De ynstruksjes dy’t mei it profyl komme fertsjinje deselde kontrôle as it profyl. Fjouwer fersiken soene jo stopje moatte: skripts ynskeakelje, in helper of bibleteek ynstallearje, de klient as administrator rinne litte, of in ymportbeheining ferswakje. Elk fan harren ferpleatst de fertrouwensgrins nei bûten, en gjinien is in gewoan part fan it ymportearjen fan in serverlist.

Lês ek it hiele bestân ien kear, om’t ien ûnbekende rigel yn kontekst makliker te beoardieljen is as yn in filtere list. As in rigel ûnbekend is, sykje dy dan op yn ’e hânlieding foar jo klient yn stee fan te rieden.

Wat de klient eins útfiert

De hânlieding 2.6 fan Community OpenVPN dokumintearret de script-security-trep: nivo 1 is de standert en blokkearret troch de brûker definiearre skripts, wylst nivo 2 se tastiet. It laden fan ynstekkers is in aparte foarsjenning mei syn eigen rjochtline. Dêrom kin itselde bestân yn ferskate klanten ferskillende dingen betsjutte. Mobile en fabrikantklanten meie in smeller set rjochtlinen akseptearje, of hielendal gjin ien fan de heakken.

De startmetoade is like wichtich as de klient. In profyl dat troch in befoarrjochte helper starten wurdt, kin mear as ien dat yn ’e brûkersromte starten wurdt, en dat ferskil is in reden om de ymportprompt te lêzen yn stee fan dy fuort te wiuwen.

De ferzje is ek wichtich, om’t dizze nivo’s per útjefte definiearre wurde en in klient ferskate ferzjes efter mooglik net itselde belied ymplemintearret. Lês de hânlieding dy’t past by de build dy’t jo rinne litte, net de nijste dy’t jo fine kinne. As de klient nearne in ferzjestring toant, is dat al in reden om stadiger oan te dwaan.

Fergelykje de operator, net allinnich it adres

Fergelykje operators sa’t jo hokker oare tuskenpersoan dan ek fergelykje. Freegje wa’t de útgong beheart, wat se logge, en hoe’t it profyl by jo kaam. In ferifiearre downloadside en in bypassende fingerôfdruk sizze mear as in bekend hostnamme. In berikbere server bewissiget allinnich dat der wat antwurde.

Beynskippen binne it part dêr’t minsken ûnder druk de mist yn gean. Typ gjin wachtwurd fan in net-relatearre akkount yn in downloadt profyl om’t de servernamme bekend liket. In profyl kin ek in priveekaai iepen yn ’e hân hawwe, dus it hiele bestân yn in resinsjetried pleatse jout dy kaai oan ’e tried.

In goed falidearre HTTPS-sesje ferberget de sideynhâld noch hieltyd foar elkenien dy’t allinnich pakketten trochstjoert, dus de útgong sjocht net automatysk elk wachtwurd. Hy sjocht wol hokker siden jo berikke, en dy grins is it wurdich krekt te neamen yn stee fan te oerdriuwen.

Wêr’t de oarsprong fan it bestân ûndúdlik bliuwt, of in privileezje dat it freget gjin ferklearring hat dy’t jo akseptearje kinne, ferfang it profyl troch ien fan in boarne dy’t ferantwurding jaan moat. Op in beheard wurkferbining soe de administraator de klient en de konfiguraasje as ien beslút goedkarre moatte, net as twa. Neat hjir freget jo om earst kweawilligens te bewizen; tagong wegerje is in legitime antwurd.