Šta preuzeti VPN profil može promijeniti na vašem uređaju

Kada svom klijentu predate VPN profil, predajete mu konfiguraciju koju je napisao neko drugi, a taj program je zatim izvršava na vašem računaru. Njegov uvoz može promijeniti kuda ide pokriveni saobraćaj, kojem drugom kraju vaš uređaj vjeruje i, u nekim formatima, koji lokalni programi se pokreću kada se tunel podigne. Datoteka nije oznaka; ona je mali program u deklarativnom formatu.

Čitajte je onako kako biste čitali ljusku skriptu iz istog izvora.

Tumači je klijent, ne vi

Svako polje u datoteci je uputa određenom klijentu. Krajnja točka i protokol odlučuju kuda ide tunel, blok za autentifikaciju odlučuje koji se tajni podatak traži, a direktive ruta odlučuju šta u njega ulazi. Certifikati ili privatni ključ mogu biti ugrađeni kao blokovi umjesto da se navode kao datoteke, i zato jedna tekstualna datoteka ponekad nosi sve što je potrebno da se neko predstavi kao vi prema mrežnom prolazu. Upravo to svojstvo čini obično dijeljenje datoteka tako opasnim.

OpenVPN profili mogu nositi i skriptne kuke, putanje do dodataka i nivo sigurnosti koji određuje smiju li se te kuke izvršavati. Ta kombinacija je ono zbog čega nepoznati profil vrijedi čitati red po red umjesto dvaput kliknuti na njega. Klijent će učiniti tačno ono što u datoteci piše, i učinit će to s vašim ovlaštenjima.

Promjene ruta se vide nakon jednog povezivanja

Profil punog tunela instalira rute koje sve šalju kroz prolaz, dok profil podijeljenog tunela šalje samo odabrane prefikse. Neki profili guraju i DNS server, što tiho mijenja ko vidi vaše upite. Ništa od toga nije samo po sebi zlonamjerno i ništa od toga nije očigledno iz naziva datoteke.

Uporedite tablicu ruta prije i poslije prvog povezivanja i vidjet ćete namjeru na prvi pogled. Profil koji se reklamira kao pristup jednoj internoj aplikaciji, a instalira širu zadanu rutu, govori vam nešto o svom autoru.

Materijal povjerenja i kuke nose pravu težinu

Profil može klijentu VPN-a dati informacije o povjerenju, a paket konfiguracije platforme može otići dalje i instalirati certifikat ili korijen u sistemsko spremište. To su različiti obimi s različitim posljedicama. Slučaj u obimu klijenta utiče na provjeru jedne aplikacije; slučaj na nivou sistema utiče na sve što koristi spremište povjerenja platforme.

Skriptne kuke i dodaci su druga polovina. Direktiva koja pokreće naredbu pri povezivanju, ili dodatak učitan u proces klijenta, ima vaša ovlaštenja i ništa od izolacije klijenta. Ako profil koji niste tražili sadrži takvu stvar, to je pitanje za osobu koja ga je poslala.

Nijedna od dvije kategorije nije automatski neprijateljska. Korporativna postavljanja koriste obje. Poenta je da svaka zahtijeva objašnjenje koje možete provjeriti.

Provjerite porijeklo, pa upišite tajni podatak

Utvrdite ko je izdao datoteku kroz kanal kojem već vjerujete, a ne kroz poruku koja ju je dostavila. Uporedite podatke o krajnjoj točki i certifikatu s objavljenom dokumentacijom operatera. Ako je profil stigao neočekivano, nabavite novi direktno od operatera umjesto da popravljate kopiju koja vam je data. Pitajte koju verziju klijenta operater podržava, jer istu datoteku drugi klijent može protumačiti drugačije.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nikada ne stavljajte lozinku u neobjašnjeno polje da vidite radi li, i nikada ne prihvatajte nepoznati zahtjev za ovlaštenjima samo da biste dovršili uvoz. Uspješno povezivanje dokazuje da je krajnja točka odgovorila, ništa više.

Uklonite uvezenu kopiju, a ne preuzimanje

Klijenti kopiraju profil u vlastito spremište, pa brisanje preuzete datoteke ostavlja uvezenu vezu aktivnom. Uklonite je kroz vlastito sučelje klijenta i provjerite da je i svaki certifikat dodan tokom uvoza nestao. Zatim potvrdite da su i rute koje je instalirao nestale.

Ako je certifikat instaliran na nivou sistema, uklanjanje profila nije dovoljno. To čišćenje pripada upravljanju povjerenjem platforme i vrijedi ga obaviti namjerno, umjesto da se nadate da će ga sljedeće podizanje sistema riješiti.