અવિશ્વસનીય VPN એ ત્રણ અલગ સીમાઓ છે, એક નહીં

«હું આ VPN પર ભરોસો કરતો નથી» સામાન્ય રીતે એક જ વાક્યમાં પહેરાવેલા ત્રણ વિધાનો છે. તે નેટવર્કના દૂરના સાથીઓ તમારા હોસ્ટની સેવાઓ સુધી પહોંચી શકે છે, ટનલ ચલાવતો ઓપરેટર તેમાંથી પસાર થતો ટ્રાફિક જોઈ શકે છે, અને તમે ઇન્સ્ટોલ કરેલું ક્લાયન્ટ સોફ્ટવેર તમારા મશીનની નેટવર્ક નીતિ બદલી શકે છે. સુધારવા લાયક માન્યતા એ છે કે ફાયરવોલ નિયમ, વર્ચ્યુઅલ મશીન કે સાવચેત ઓપરેટિંગ સિસ્ટમ પસંદગી ત્રણેયનો જવાબ આપે છે. દરેક પગલું તેમાંથી બરાબર એકનો જવાબ આપે છે.

દંતકથા: એક નિયંત્રણ આખું જોખમ આવરી લે છે

સામાન્ય ધારણા એ છે કે અવિશ્વસનીય નેટવર્કમાં જોડાવું એ એક જ નિર્ણય અને એક જ શમન છે. લોકો જે નિયંત્રણ પર પહેલેથી ભરોસો ધરાવે છે તે પસંદ કરે છે, લાગુ કરે છે અને જોખમને પતાવેલું માને છે: ફાયરવોલ ચાલુ છે, કાર્યક્ષેત્ર ફેંકી દેવાય તેવું છે, ક્લાયન્ટ પ્રતિષ્ઠિત વેન્ડરનો છે.

આ નિયંત્રણો ધારણા સૂચવે તે રીતે એકબીજા પર ઓવરલેપ થતા નથી. હોસ્ટ ફાયરવોલ મર્યાદિત કરે છે કે દૂરનો સાથી ક્યાં સુધી પહોંચી શકે, અને તમારા TLS ને સમાપ્ત કરતા ઓપરેટર સામે તે કંઈ કરતું નથી. વર્ચ્યુઅલ મશીન કાર્યક્ષેત્રને તમારા હોસ્ટની ફાઇલોથી અલગ કરે છે, અને બંનેની નીચેનું નેટવર્ક સ્ટેક ફરી ગોઠવવાની પરવાનગી ધરાવતા ક્લાયન્ટ ઘટક સામે તે કંઈ કરતું નથી. દરેક નિયંત્રણ ખરેખર જે સીમા બનાવે છે તેને નામ આપવું એ જ આખો અભ્યાસ છે.

તેમને અલગ કરવાથી એ પણ ખબર પડે છે કે તમે કયું જોખમ સ્વીકારવાનું પસંદ કર્યું છે. મોટાભાગના વાસ્તવિક નિર્ણયો એક સીમા ઘટાડે છે અને બીજી સહન કરે છે, જે ત્યાં સુધી ઠીક છે જ્યાં સુધી ફેરફારનો રેકોર્ડ કહે કે કઈ કઈ છે.

દૂરનો સાથી ખરેખર ક્યાં સુધી પહોંચી શકે છે

સાંભળતી સેવાઓથી શરૂ કરો. પેકેટ એન્ક્રિપ્ટ થઈને આવ્યા હોવાથી જે ટનલ ઇન્ટરફેસને વ્યાપકપણે વિશ્વસનીય ગણવામાં આવે છે તે સામાન્ય ભૂલ છે, અને તે દરેક સ્થાનિક શ્રોતાને તે નેટવર્ક પરના અન્ય કોઈપણ માટે સંભવિત લક્ષ્ય બનાવે છે. એન્ક્રિપ્શન બે છેડાઓ વચ્ચેની વાયરને રક્ષે છે; તે બીજી બાજુના સાથીના ઇરાદા વિશે કંઈ કહેતું નથી.

ss -tulpn
sudo nft list ruleset
ip -br addr

સેવાઓને દરેક ઇન્ટરફેસને બદલે જે સરનામાની તેમને જરૂર છે તેની સાથે બાંધો, અને મંજૂર કાર્ય જે ક્રિયાઓ માગે છે તે જ મંજૂર કરો. ફોરવર્ડિંગ, બ્રિજિંગ અને એપ્લિકેશન પ્રોક્સી સ્પષ્ટ રાખો, કારણ કે બે નેટવર્ક જોડાણો પોતાની જાતે ટ્રાન્ઝિટ માર્ગ બનાવતા નથી, પરંતુ પ્રોક્સી નિયમ ચોક્કસ બનાવી શકે છે.

મંજૂર ફેંકી દેવાય તેવું કાર્યક્ષેત્ર દૂરના નેટવર્ક ક્યાં સુધી પહોંચી શકે તે ઘટાડે છે, પરંતુ ફક્ત ત્યારે જ જ્યારે તેની શેરિંગ ગોઠવણી દાવા સાથે મેળ ખાય. શેર કરેલા ફોલ્ડરો, ક્લિપબોર્ડ એકીકરણ, ઓળખપત્ર એજન્ટો અને સંચાલન ચેનલો બધા તે સીમા ઓળંગે છે જે કાર્યક્ષેત્રે બનાવવાની હતી. કાર્યક્ષેત્રનું લેબલ તેમાંથી કયું ખુલ્લું છે તે વિશે કંઈ સાબિત કરતું નથી.

NIST ની શૂન્ય-વિશ્વાસ સ્થાપત્ય આ બધાની પાછળનો સિદ્ધાંત કહે છે: ફક્ત નેટવર્ક સ્થાન જ સૂચિત વિશ્વાસ આપતું નથી. ટનલ સ્વીકારાયા પછી પણ સંસાધન પ્રમાણીકરણનું કામ રહે છે, અને તે નેટવર્કમાં બીજું કોણ જોડાયેલું છે તે પ્રશ્નનું પણ.

માર્ગમાંનો ઓપરેટર શું જોઈ શકે છે

VPN તમારો ટ્રાફિક માર્ગ પરના બીજા સ્થાને ખસેડે છે; તે એપ્લિકેશન એન્ક્રિપ્શન ઉમેરતું નથી. જો પ્રદાતા તમારું TLS સમાપ્ત કરે, તો પ્રદાતા તે વાંચી શકે જે તમારું બ્રાઉઝર અન્યથા રક્ષતું હોત, અને કોઈ સ્થાનિક ફાયરવોલ નિયમ તેને બદલતું નથી.

વાસ્તવિક ગંતવ્ય માટે સામાન્ય પ્રમાણપત્ર ચકાસણી રાખો અને રિઝોલ્વર તથા મેટાડેટા માર્ગ સમજો, કારણ કે DNS પ્રશ્ન તેની પહેલાં જતા પેલોડ કરતાં વધુ જાહેર કરી શકે છે. ફક્ત મેટાડેટા, એટલે કે તમે કયા સરનામાંઓનો ક્યારે સંપર્ક કર્યો, ઘણી વાર સામગ્રી વાંચવાની કોઈ જરૂર વિના ઓપરેટરના પ્રશ્નનો જવાબ આપે છે. તેથી જ «ટ્રાફિક એન્ક્રિપ્ટેડ છે» અને «ટ્રાફિક ખાનગી છે» અલગ દાવાઓ છે.

જો તે દૃશ્યતા કાર્ય માટે અસ્વીકાર્ય હોય, તો જવાબ વધુ સ્થાનિક ફિલ્ટરિંગ નહીં, પરંતુ બીજું મંજૂર સ્થાપત્ય છે. સ્થાનિક ફિલ્ટરિંગ નિરીક્ષકને એવા માર્ગ પરથી દૂર કરી શકતું નથી જ્યાં તે હજી બેઠો છે.

સ્થાનિક ક્લાયન્ટ શું બદલી શકે છે

આ એ સીમા છે જે લોકો ચૂકી જાય છે, અને આ જ બીજી બેને અર્થહીન બનાવે છે. લિનક્સમાં CAP_NET_ADMIN તેના નેટવર્ક સંદર્ભમાં ઇન્ટરફેસ ગોઠવણી, ફાયરવોલ સંચાલન અને રૂટ ફેરફારો આવરી લે છે. તે ક્ષમતા ધરાવતું સોફ્ટવેર તમે હમણાં લખેલી નીતિ ફરી લખી શકે છે.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

નેટવર્ક નામસ્થાન નેટવર્ક સ્થિતિ માટે વાસ્તવિક સીમા છે અને બાકીના બધા માટે નબળી: તે ફાઇલસિસ્ટમ કે ઓળખપત્ર ભંડારને અલગ કરતું નથી. તેને આખી સમસ્યાના કન્ટેનર તરીકે નહીં, પરંતુ એક સ્તર તરીકે ગણો.

ક્લાયન્ટ અને તેની ગોઠવણી જાળવણીવાળા સ્રોતમાંથી મેળવો, તે જે સત્તા માગે છે તેની સમીક્ષા કરો, અને વિશેષાધિકાર ધરાવતા ઘટકોને વ્યવસ્થાપકના નિયંત્રણમાં રાખો. મૂલ્યવાન ઓળખપત્રોની બાજુમાં અસ્પષ્ટ ઇન્સ્ટોલર ચલાવવાની પરવાનગી બન્યા વિના વર્ચ્યુઅલ મશીન લાયક મૂલ્યાંકન સીમાનો ભાગ બની શકે છે. ઇન્સ્ટોલર તમે તેને આપો તે સત્તા સાથે ચાલે છે, અને તે સત્તા જ સીમા છે.

તમે કઈ સીમા સ્વીકારી તે લખો

ચાર વસ્તુઓનાં નામ લેતા વાક્ય સાથે સમાપ્ત કરો: વિશ્વસનીય સ્થાનિક કોડ, મંજૂર દૂરસ્થ પ્રવેશ, સુરક્ષિત એપ્લિકેશન ડેટા અને બાકી રહેતો ઓપરેટર સંબંધ. તે વાક્ય એ સામાન્ય દાવા કરતાં વધુ મૂલ્યવાન છે કે VM, ઓપરેટિંગ સિસ્ટમ કે એન્ટિવાયરસ ઉત્પાદને દુશ્મનાવટપૂર્ણ નેટવર્કને સુરક્ષિત બનાવ્યું.

પછી ખાતરી કરો કે સાંકડી ક્રિયા કામ કરે છે અને માગેલો ઇનકાર હજી ટકે છે, ટનલ પડી જાય પછી પણ. જે સીમા ફક્ત ત્યારે જ હોય જ્યારે ટનલ ચાલુ હોય, તે તમે દસ્તાવેજ કરેલી સીમા નથી.

કોઈ પરીક્ષણ સાબિત કરતું નથી કે દરેક ભેદ્યતા ગેરહાજર છે, અને વિરુદ્ધ દાવો કરતી સમીક્ષા વધુ પડતું કહે છે. પ્રામાણિક પરિણામ બાકી રહેતા જોખમ અને તેને સ્વીકારનાર વ્યક્તિનું નામ આપે છે.