In net fertroude VPN is trije aparte grinzen, net ien

«Ik fertrou dizze VPN net» binne meastentiids trije bewearings yn ien sin. De fiere partijen yn dat netwurk kinne tsjinsten op jo host berikke, de operator dy’t de tunnel rint kin ferkear sjen dat der trochhinne giet, en de klientsoftware dy’t jo ynstalleare hawwe kin it netwurkbelied fan jo masine feroarje. It leauwen dat it wurdich is om te korrigearjen is dat in fjoerwâlregel, in firtuele masine of in soarchfâldige kar fan bestjoeringssysteem alle trije beantwurdet. Elk maatregel beantwurdet krekt ien dêrfan.

De myte: ien kontrôle dekt it hiele risiko

De gewoane oanname is dat it oansluten by in net fertroud netwurk ien beslút is mei ien mitigasje. Minsken kieze de kontrôle dy’t se al fertrouwe, passe it ta en beskôgje it risiko as dien: de fjoerwâl is oan, de wurkromte is weismietber, de klient komt fan in respektearre leveransier.

Dy kontrôles oerlaapje inoar net sa’t de oanname suggerearret. In fjoerwâl op de host beheint wat in fierte partij berikke kin, en docht neat oan in operator dy’t jo TLS beëiniget. In firtuele masine skiedt in wurkromte fan jo hostbestannen, en docht neat oan in klientkomponint dat tastien is om de netwurkstapel ûnder beide opnij te konfigurearjen. De grins beneame dy’t elk kontrôle eins skept, is de hiele oefening.

It skieden derfan fertelt jo ek hokker risiko jo keazen hawwe om te akseptearjen. De measte echte besluten mildigje ien grins en ferneare in oare, wat goed is salang’t it feroaringsregister seit hokker hokker is.

Wat de fierte partij eins berikke kin

Begjin mei harkjende tsjinsten. De tunnelinterface dy’t as breed fertroud behannele wurdt om’t syn pakketten fersifere oankamen, is de gewoane flater, en it makket elke lokale harker in mooglik doelwyt foar elkenien oars op dat netwurk. Fersifering beskermet de tried tusken twa einpunten; it seit neat oer de bedoeling fan de partij oan ’e oare kant.

ss -tulpn
sudo nft list ruleset
ip -br addr

Bin tsjinsten oan it adres dat se nedich hawwe ynstee fan oan elk interface, en stean allinnich de operaasjes ta dy’t de goedkarde taak freget. Hâld trochstjoeren, oerbrêgjen en applikaasjeproxy eksplisyt, want twa netwurkoanslutings meitsje op harsels gjin transitpaad, mar in proxyregel kin dat grif.

In goedkarde weismietbere wurkromte ferminderet wat it fierte netwurk berikke kin, mar allinnich as syn dielkonfiguraasje oerienkomt mei de bewearing. Dielde mappen, klamboerdintegriteit, bewiisaginten en behearkanalen kruse allegear de grins dy’t de wurkromte meitsje soe. In wurkromtelabel bewissiget neat oer hokker fan dy iepen binne.

NIST’s zero-trust-arsjitektuer ferklearret it prinsipe efter dit alles: allinnich netwurklokaasje jout gjin ymplisite fertrouwen. Boarnferifikaasje hat noch in taak nei’t de tunnel talitten is, en sa ek de fraach wa oars dat netwurk dielt.

Wat de operator yn it paad sjen kin

In VPN ferpleatst jo ferkear nei in oar plak yn it paad; it foeget gjin applikaasje-fersifering ta. As de provider jo TLS beëiniget, kin de provider lêze wat jo browser oars beskerme hie, en gjin lokale fjoerwâlregel feroaret dat.

Hâld normale sertifikaatfalidaasje foar de echte bestimming en begryp it resolver- en metadatapaad, want in DNS-fraach kin mear ferriede as de lading dy’t deroan foarôfgiet. Metadata allinnich, dat wol sizze hokker adressen jo kontakt hawwe en wannear, beantwurdet faak de fraach fan de operator sûnder needsaak om ynhâld te lêzen. Dêrom binne «it ferkear is fersifere» en «it ferkear is privee» ferskillende bewearings.

As dy sichtberens net akseptabel is foar de taak, is it antwurd in oare goedkarde arsjitektuer ynstee fan mear lokale filtering. Lokale filtering kin in waarnimmer net fan in paad helje dêr’t er noch op sit.

Wat de lokale klient feroarje mei

Dit is de grins dy’t minsken misse, en it is dejinge dy’t de oare twa neatich makket. Op Linux dekt CAP_NET_ADMIN interfacekonfiguraasje, fjoerwâlbehear en rûteferoarings yn syn netwurkferbân. Software mei dy kapasiteit kin it belied weromskriuwe dat jo krekt skreaun hawwe.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

In netwurknammromte is in echte grins foar netwurksteat en in minne foar al it oare: it isolearret it bestânssysteem of it bewiisopslach net. Behannelje it as ien laach ynstee fan as in kontener foar it hiele probleem.

Krij de klient en syn konfiguraasje fan in ûnderholden boarne, besjoch de autoriteit dy’t er freget, en hâld privilezjeare komponinten ûnder administraasjebeskerming. In firtuele masine kin diel útmeitsje fan in kwalifisearre evaluaasjegrins sûnder tastimming te wurden om in ûnferklearre ynstallearder njonken weardefolle bewizen te rinnen. De ynstallearder rint mei hokker autoriteit jo him ek jouwe, en dy autoriteit is de grins.

Skriuw op hokker grins jo akseptearre hawwe

Einigje mei in sin dy’t fjouwer dingen neamt: de fertroude lokale koade, de tastiene fiere tagong, de beskerme applikaasjegegevens en de operatorrelaasje dy’t oerbliuwt. Dy sin is mear wurdich as in algemiene bewearing dat in VM, in bestjoeringssysteem of in antyfirusprodukt in fijannich netwurk feilich makke hat.

Befêstigje dan dat de smelle operaasje wurket en de frege wegering noch hâldt, ek neidat de tunnel falt. In grins dy’t allinnich bestiet salang’t de tunnel oan is, is net de grins dy’t jo dokumintearre hawwe.

Gjin test bewissiget dat elke kwetsberens ôfwêzich is, en in resinsje dy’t oars beweart oerdriuwt. De earlike útkomst neamt it oerbliuwende risiko en de persoan dy’t it akseptearre hat.