מה פרופיל VPN שנמסר לך יכול לשנות במכשיר שלך

מסירת פרופיל VPN ללקוח שלך היא מסירת תצורה שכתב מישהו אחר, שאותה התוכנית מריצה אחר כך במחשב שלך. ייבוא שלו יכול לשנות לאן הולכת התעבורה המכוסה, באיזה עמית המכשיר שלך בוטח ובחלק מהפורמטים גם אילו תוכנות מקומיות עולות כשהמנהרה עולה. הקובץ אינו סימנייה; הוא תוכנית קטנה בפורמט הצהרתי.

קרא אותו כפי שהיית קורא סקריפט מעטפת מאותו מקור.

הלקוח מפרש אותו, לא אתה

כל שדה בקובץ הוא הוראה ללקוח מסוים. נקודת הקצה והפרוטוקול קובעים לאן הולכת המנהרה, בלוק האימות קובע איזה סוד נדרש והוראות הניתוב קובעות מה נכנס לתוכה. אישורים או מפתח פרטי עשויים להיות מוטמעים כבלוקים במקום להיות מוזכרים כקבצים, ולכן קובץ טקסט אחד נושא לעיתים את כל מה שדרוש כדי להתחזות לך מול שער. התכונה הזו היא מה שהופך שיתוף קבצים מזדמן לכל כך מסוכן.

פרופילי OpenVPN יכולים לשאת גם קרסי סקריפט, נתיבי תוספים ורמת אבטחה שקובעת אם הקרסים האלה רשאים לרוץ. השילוב הזה הוא מה שהופך פרופיל לא מוכר לראוי לקריאה שורה אחר שורה במקום לחיצה כפולה. הלקוח יעשה בדיוק את מה שהקובץ אומר, והוא יעשה זאת בהרשאות שלך.

שינויי ניתוב נראים אחרי חיבור אחד

פרופיל מנהרה מלאה מתקין מסלולים ששולחים הכול דרך השער, ואילו פרופיל מנהרה מפוצלת שולח רק קידומות נבחרות. כמה פרופילים גם דוחפים שרת DNS, מה שמשנה בשקט מי רואה את השאילתות שלך. שום דבר מזה אינו זדוני כשלעצמו, ושום דבר מזה אינו גלוי משם הקובץ.

השווה את טבלת הניתוב לפני ואחרי החיבור הראשון ותראה את הכוונה במבט אחד. פרופיל שמפורסם כגישה לאפליקציה פנימית אחת אבל מתקין מסלול ברירת מחדל רחב יותר מספר לך משהו על הכותב שלו.

חומר האמון והקרסים הם הנושאים את המשקל האמיתי

פרופיל יכול לספק מידע אמון ללקוח ה-VPN, ו חבילת תצורת פלטפורמה יכולה ללכת רחוק יותר ולהתקין אישור או שורש במאגר מערכת. אלה היקפים שונים עם השלכות שונות. המקרה בהיקף הלקוח משפיע על אימות של אפליקציה אחת; המקרה ברמת המערכת משפיע על כל מה שמשתמש במאגר האמון של הפלטפורמה.

קרסי סקריפט ותוספים הם החצי השני. הוראה שמריצה פקודה בעת חיבור, או תוסף שנטען לתהליך הלקוח, מחזיק בהרשאות שלך ושום דבר מן הבידוד של הלקוח. אם פרופיל שלא ביקשת מכיל אחד כזה, זו שאלה למי ששלח אותו.

אף אחת משתי הקטגוריות אינה עוינת אוטומטית. פריסות ארגוניות משתמשות בשתיהן. הנקודה היא שכל אחת דורשת הסבר שאתה יכול לבדוק.

אמת את המקור, ואז הזן את הסוד

קבע מי הנפיק את הקובץ דרך ערוץ שאתה כבר סומך עליו, לא דרך ההודעה שהעבירה אותו. השווה את פרטי נקודת הקצה והאישור לתיעוד שפרסם המפעיל. אם פרופיל הגיע בלי שביקשת, השג חדש ישירות מהמפעיל במקום לתקן את העותק שנמסר לך. שאל איזו גרסת לקוח המפעיל תומך בה, כי לקוח אחר עלול לפרש את אותו קובץ אחרת.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

לעולם אל תשים סיסמה בשדה לא מוסבר כדי לראות אם היא עובדת, ולעולם אל תקבל בקשת הרשאה לא מוכרת רק כדי לסיים ייבוא. חיבור מוצלח מוכיח שנקודת הקצה ענתה, ולא יותר.

הסר את העותק המיובא, לא את ההורדה

לקוחות מעתיקים פרופיל למאגר שלהם, כך שמחיקת הקובץ שהורד משאירה את החיבור המיובא פעיל. הסר אותו דרך הממשק של הלקוח עצמו, ובדוק שגם כל אישור שנוסף במהלך הייבוא נעלם. לאחר מכן אשר שגם המסלולים שהוא התקין נעלמו.

אם אישור הותקן ברמת המערכת, הסרת הפרופיל אינה מספיקה. הניקוי הזה שייך לניהול האמון של הפלטפורמה, וכדאי לעשות אותו במכוון במקום לקוות שהאתחול הבא יטפל בו.