क्या VM के अंदर का VPN होस्ट से ट्रैफ़िक छिपा सकता है?

आप क्लाइंट को वर्चुअल मशीन के अंदर इंस्टॉल करते हैं, टनल ऊपर आती है, और गेस्ट का ट्रैफ़िक एन्क्रिप्ट हो जाता है। यह मशीन के बाहर के नेटवर्क के सामने कुछ मूल्य रखता है। गेस्ट चलाने वाले ऑपरेटिंग सिस्टम के सामने यह बहुत कम काम आता है, क्योंकि वह गेस्ट की मेमोरी पढ़ सकता है और उसकी स्क्रीन देख सकता है। नीचे दी जाँचें यह अलग करती हैं कि टनल किसकी रक्षा करती है और होस्ट क्या रखता है।

टनल से पहले होस्ट सादा पाठ पढ़ता है

डेस्कटॉप हाइपरवाइज़र गेस्ट को प्रोसेसर समय देता है और वह जो मेमोरी लिखता है उसे पढ़ सकता है, जिसमें वह पृष्ठ भी शामिल है जिसे ब्राउज़र ने अभी-अभी डिक्रिप्ट किया है। होस्ट पर एक मॉनिटरिंग उपकरण उस सादे पाठ को सिफ़र पर हमला किए बिना पढ़ता है, और उसी स्तर का कीलॉगर किसी भी क्लाइंट के उसे लपेटने से पहले कीस्ट्रोक इकट्ठा करता है। इनमें से किसी को टूटे VPN की ज़रूरत नहीं होती, इसलिए एक साफ़ टनल उपकरण-युक्त होस्ट के बगल में खड़ी हो सकती है।

यह स्थिति जो नहीं सौंपती वह दूर के छोर की कुंजियाँ हैं, या वह सामग्री जिसकी रक्षा कोई दूसरा छोर सिरे से सिरे तक करता है। टनल अब भी उस नेटवर्क के सामने टिकी रहती है जिसे वह पार करती है; खाली जगह स्थानीय है।

कलाकृतियाँ सत्र से अधिक जीती हैं

VirtualBox गेस्ट को रोकें और उसके बगल में सहेजी गई मेमोरी स्थिति वाली .sav फ़ाइल दिखाई देती है। VMware सस्पेंड और स्नैपशॉट कार्य के दौरान .vmem और .vmsn फ़ाइलें छोड़ता है, और Hyper-V चेकपॉइंट होस्ट वॉल्यूम पर .avhdx अंतर डिस्क बढ़ाते हैं। उनमें से कोई भी फ़ाइल गेस्ट के डिस्क एन्क्रिप्शन से एन्क्रिप्ट नहीं होती। होस्ट की पेजफ़ाइल भी वे पृष्ठ प्राप्त कर सकती है जिन्हें हाइपरवाइज़र ने बाहर धकेला, वह निशान जिसके बारे में Tails अपने वर्चुअलाइज़ेशन मार्गदर्शन में चेतावनी देता है। जाँचें कि हाइपरवाइज़र स्नैपशॉट रखता है या नहीं और होस्ट का स्वैप एन्क्रिप्टेड वॉल्यूम पर है या नहीं।

उन फ़ाइलों के लिए एक प्रतिधारण नियम तय करें, डिफ़ॉल्ट पर भरोसा करने के बजाय, जो उन्हें तब तक रखता है जब तक कोई हटा न दे। अम्नेसिक सत्र की घोषणा करने वाला गेस्ट इसमें कुछ नहीं बदलता; फ़ाइल होस्ट लिखता है, इसलिए होस्ट की नीति चलती है। यदि आप नहीं बता सकते कि स्नैपशॉट कहाँ रहते हैं या कौन उन्हें खोल सकता है, तो गेस्ट का डिज़ाइन मूल्यांकित नहीं हुआ।

डिस्क एन्क्रिप्शन एक संकीर्ण मामला ढकता है

गेस्ट की डिस्क एन्क्रिप्ट करना आराम की स्थिति में एक इमेज, दूसरी मशीन पर ले जाए गए वॉल्यूम, या भागते बैकअप की रक्षा करता है। गेस्ट के चलने के दौरान यह कुछ नहीं करता, क्योंकि गेस्ट द्वारा डिक्रिप्ट करने के बाद हाइपरवाइज़र मेमोरी पढ़ता है। पासफ़्रेज़ को संग्रहीत प्रतियों की सुरक्षा मानें, VM चलाने वाली मशीन के विरुद्ध ढाल नहीं।

कुंजियाँ और जीवंत निष्पादन अलग प्रश्न हैं। होस्टेड या साझा वातावरण में प्रदाता इमेज की कुंजियाँ रख सकता है जबकि गेस्ट ऐसे हार्डवेयर पर चलाता है जिसका आप कभी निरीक्षण नहीं करते, इसलिए दोनों उत्तर लिख लें।

परिवहन वही दृश्य नहीं है

जो गेस्ट की टनल ढोता है वह बाहरी छोर, समय और मात्रा देखता है, भले ही पेलोड बंद रहे। इस आकार का मेटाडेटा अक्सर उस प्रश्न का उत्तर देता है जो पर्यवेक्षक के पास वास्तव में है, इसलिए उसे शोर नहीं बल्कि अवगुण्ठन का हिस्सा मानें। एडाप्टर मोड और रूटिंग तय करते हैं कि होस्ट-स्तरीय VPN नियम गेस्ट के ट्रैफ़िक को छूते हैं या नहीं।

इसे गेस्ट के अंदर से जाँचें, होस्ट के ब्राउज़र से नहीं। होस्ट का ब्राउज़र ढका हो सकता है जबकि गेस्ट सीधे बाहर ब्रिज हो, और दोनों अलग-अलग मार्गों का उपयोग करते हुए एक ही कनेक्शन साझा कर सकते हैं। एडाप्टर मोड लिखें, फिर अनुमान पर भरोसा करने के बजाय होस्ट के भौतिक इंटरफ़ेस पर कैप्चर देखें।

क्रॉसिंग घटाएँ, फिर रिकॉर्ड लिखें

गेस्ट को उस हार्डवेयर पर चलाएँ जिसे आप नियंत्रित करते हैं, हाइपरवाइज़र को पैच रखें, और साझा फ़ोल्डर, क्लिपबोर्ड साझा करना और खींचें-छोड़ें केवल वहीं चालू करें जहाँ काम को उनकी ज़रूरत हो। हर एक होस्ट और गेस्ट के बीच एक चैनल है, और भेजा गया डिफ़ॉल्ट आमतौर पर काम की ज़रूरत से अधिक खुला होता है। जिन गेस्ट ऐडिशन का आप उपयोग नहीं करते उन्हें बंद करें, फिर पुष्टि करें कि सेटिंग्स रीबूट के बाद भी बनी रहती हैं, क्योंकि अपग्रेड आपके द्वारा बंद किया गया पुनर्स्थापित कर सकता है।

ये कदम क्रॉसिंग सँकरी करते हैं; वे गेस्ट को अलग भौतिक विश्वास-सीमा नहीं बनाते। सख़्त किए गए VM को ऐसी सीमा मानना वह जगह है जहाँ जोखिम मूल्यांकन आमतौर पर गलत होते हैं।

संवेदनशील काम के लिए लिखें कि ट्रैफ़िक कैसे रूट होता है और कौन-सी स्थानीय प्रणालियाँ कार्यभार चलाती और रखती हैं। जोड़ें कि होस्ट को कौन नियंत्रित करता है और सत्र के बाद कौन-सी फ़ाइलें बचती हैं। केवल टनल की सूची देने वाला गोपनीयता नोट व्यवस्था का आधा हिस्सा बताता है।