Ficheiros OVPN descoñecidos: risco local e confianza remota

Trata un ficheiro OVPN como unha entrada para un programa, non como un certificado de que o seu contido sexa inofensivo. Comprobar o enderezo do servidor só responde a onde quere conectarse o perfil e nada máis. Dentro dese ficheiro hai dúas decisións de confianza separadas: que pode facer o cliente na túa máquina e que operador recibe o tráfico. Un nome de protocolo coñecido non resolve ningunha das dúas.

Dúas decisións agóchanse nun ficheiro

A primeira decisión é local. O perfil é unha linguaxe de configuración, e o cliente que o le pode admitir directivas que cargan un complemento, executan un script ou cambian como se aplican o encamiñamento e o DNS. A segunda decisión é remota. Sexa o que sexa o que conteña o ficheiro, o operador de saída ve o tráfico que lle chega.

Confundir as dúas produce malos consellos nas dúas direccións: un perfil de aspecto limpo dun operador descoñecido, ou o perfil dun operador coñecido cun gancho que ninguén leu. Un perfil seguro localmente aínda pode entregar o teu tráfico a alguén que non elixirías.

Le o perfil antes de que o faga calquera cliente

Le o ficheiro como texto antes de que calquera cliente o procese. Busca directivas que apunten fóra do ficheiro, fagan referencia a executables ou cambien privilexios, e compara esa lista co soporte documentado do cliente. Unha busca curta non é unha auditoría de seguridade, pero díxoche se o perfil é unha lista de servidores ou algo máis.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Un resultado baleiro é tranquilizador e non concluínte, porque as opcións poden interactuar ou vir dun ficheiro incluído. Trata a lista filtrada como unha razón para seguir lendo, non como un veredicto.

As instrucións que chegan xunto co perfil merecen o mesmo escrutinio que o perfil. Catro peticións deberían deterte: activar scripts, instalar un asistente ou unha biblioteca, executar o cliente como administrador ou debilitar unha restrición de importación. Cada unha move a fronteira de confianza cara fóra, e ningunha é parte ordinaria de importar unha lista de servidores.

Le tamén o ficheiro completo unha vez, porque unha soa liña descoñecida xúlgase mellor en contexto que nunha lista filtrada. Se unha liña che resulta descoñecida, búscaa no manual do teu cliente en lugar de adiviñar.

Que executará realmente o cliente

O manual 2.6 de Community OpenVPN documenta os niveis de script-security: o nivel 1 é o predeterminado e bloquea os scripts definidos polo usuario, mentres que o nivel 2 os permite. A carga de complementos é un mecanismo aparte coa súa propia directiva. Por iso o mesmo ficheiro pode significar cousas distintas en clientes distintos. Os clientes móbiles e de fabricante poden aceptar un conxunto máis estreito de directivas, ou ningún dos ganchos.

O método de inicio importa tanto como o cliente. Un perfil iniciado por un asistente privilexiado pode facer máis que un iniciado no espazo de usuario, e esa diferenza é unha razón para ler o aviso de importación en lugar de descartalo.

A versión tamén importa, porque estes niveis defínense por versión e un cliente varias versións atrás pode non implementar a mesma política. Le o manual que corresponda á compilación que executas, non o máis recente que atopes. Se o cliente non mostra ningunha cadea de versión en ningún sitio, iso xa é unha razón para ir máis amodo.

Compara o operador, non só o enderezo

Compara os operadores como comparas calquera outro intermediario. Pregunta quen xestiona a saída, que rexistran e como chegou o perfil ata ti. Unha páxina de descarga verificada e unha impresión dixital coincidente din máis que un nome de host coñecido. Un servidor accesible só demostra que algo respondeu.

As credenciais son a parte que a xente equivoca baixo presión. Non escribas o contrasinal dunha conta non relacionada nun perfil descargado porque o nome do servidor che soe. Un perfil tamén pode levar unha chave privada en claro, así que publicar o ficheiro enteiro nun fío de revisión entrega esa chave ao fío.

Unha sesión HTTPS ben validada aínda agocha o contido da páxina a quen só reenvía paquetes, así que a saída non ve automaticamente todos os contrasinais. Si ve a que sitios chegas, e esa fronteira merece dicirse con precisión en lugar de exaxerala.

Cando a orixe do ficheiro non queda clara, ou un privilexio que pide non ten ningunha explicación que poidas aceptar, substitúe o perfil por un dunha fonte que poida render contas. Nunha conexión de traballo xestionada, o administrador debería aprobar o cliente e a configuración como unha soa decisión, non como dúas. Nada aquí esixe que demostres mala intención primeiro; negar o acceso é unha resposta lexítima.