Elrejtheti-e a virtuális gépen belüli VPN a forgalmat a gazdagép elől?

Telepíted a klienst egy virtuális gépen belül, az alagút feljön, és a vendég forgalma titkosított lesz. Ez valamit ér a gépen kívüli hálózattal szemben. Sokkal kevesebbet ér a vendéget futtató operációs rendszerrel szemben, amely olvashatja a vendég memóriáját és figyelheti a képernyőjét. Az alábbi ellenőrzések választják szét, mit véd az alagút és mit tart meg a gazdagép.

A gazdagép előbb olvassa a nyílt szöveget, mint az alagút

Egy asztali hipervizor processzoridőt ad a vendégnek, és olvashatja az általa írt memóriát, beleértve azt az oldalt, amelyet egy böngésző épp visszafejtett. A gazdagépen futó monitorozó eszköz ezt a nyílt szöveget a titkosítás megtámadása nélkül olvassa, és egy ugyanazon a szinten lévő keylogger a billentyűleütéseket még azelőtt gyűjti, hogy bármely kliens becsomagolná őket. Ehhez egyik sem igényel törött VPN-t, ezért egy tiszta alagút állhat egy műszerezett gazdagép mellett.

Amit ez a pozíció nem ad át, az a távoli vég kulcsai, vagy olyan tartalom, amelyet egy másik végpont végpontok között véd. Az alagút továbbra is tart a keresztezett hálózattal szemben; a rés helyi.

Az artefaktumok túlélik a munkamenetet

Szüneteltess egy VirtualBox-vendéget, és mellé megjelenik egy .sav fájl a mentett memóriaállapottal. A VMware .vmem és .vmsn fájlokat hagy a felfüggesztés és a pillanatképek alatt, a Hyper-V ellenőrzőpontok pedig .avhdx különbségi lemezeket növesztenek a gazdagép kötetén. Ezeket a fájlokat egyiket sem titkosítja a vendég lemeztitkosítása. A gazdagép laptároló fájlja is kaphat olyan lapokat, amelyeket a hipervizor kiszorított, ez az a nyom, amelyre a Tails a virtualizációs útmutatójában figyelmeztet. Ellenőrizd, hogy a hipervizor megtartja-e a pillanatképeket, és hogy a gazdagép swapja titkosított köteten van-e.

Dönts megőrzési szabályt ezekre a fájlokra ahelyett, hogy az alapértelmezésben bíznál, amely megtartja őket, amíg valaki törli. Az amnéziás munkamenetet hirdető vendég ezen semmit sem változtat; a fájlt a gazdagép írja, tehát a gazdagép szabályzata érvényes. Ha nem tudod megmondani, hol élnek a pillanatképek, vagy ki nyithatja meg őket, a vendég tervezését nem értékelték.

A lemeztitkosítás szűkebb esetet fed le

A vendég lemezének titkosítása egy nyugalmi lemezképet, egy másik gépre átvitt kötetet vagy egy megszökő biztonsági mentést véd. Semmit sem tesz, miközben a vendég fut, mert a hipervizor a memóriát azután olvassa, hogy a vendég visszafejtette. Kezeld a jelmondatot a tárolt másolatok védelmeként, nem pajzsként a VM-et futtató gép ellen.

A kulcsok és az élő végrehajtás külön kérdések. Hosztolt vagy megosztott környezetben a szolgáltató tarthatja a lemezkép kulcsait, miközben olyan hardveren futtatja a vendéget, amelyet soha nem vizsgálsz, ezért rögzítsd mindkét választ.

A szállítás nem ugyanaz a nézet

Aki a vendég alagútját viszi, látja a külső végpontokat, az időzítést és a mennyiséget, még akkor is, ha a hasznos teher zárva marad. Az ilyen alakú metaadat gyakran arra a kérdésre válaszol, amely a megfigyelőnek valójában van, ezért kezeld a kitettség részeként, ne zajként. Az adapter módja és az útválasztás dönti el, hogy a gazdagépszintű VPN-szabályok egyáltalán érintik-e a vendég forgalmát.

Ezt a vendég belsejéből teszteld, ne a gazdagép böngészőjéből. A gazdagép böngészője lefedett lehet, miközben a vendég egyenesen kifelé van áthidalmazva, és a kettő megoszthat egy kapcsolatot különböző útvonalak használatával. Jegyezd fel az adapter módját, majd egy felvételt nézz meg a gazdagép fizikai interfészén, ahelyett hogy egy feltevésben bíznál.

Szűkítsd az átjárásokat, aztán írd meg a feljegyzést

A vendéget olyan hardveren futtasd, amelyet te irányítasz, tartsd a hipervizort javítva, és csak ott engedélyezd a megosztott mappákat, a vágólapmegosztást és a húzást, ahol a munka igényli. Mindegyik csatorna a gazdagép és a vendég között, és a szállított alapértelmezés általában nyitottabb, mint amit a feladat megkíván. Kapcsold ki a nem használt vendégkiegészítőket, majd igazold, hogy a beállítások túlélnek egy újraindítást, mert egy frissítés visszaállíthatja azt, amit kikapcsoltál.

Ezek a lépések szűkítik az átjárásokat; nem teszik a vendéget külön fizikai bizalmi határrá. A megerősített VM ilyen határként kezelése az, ahol a kockázatértékelések általában tévednek.

Érzékeny munkához jegyezd fel, hogyan irányítódik a forgalom, és mely helyi rendszerek futtatják és tartják a munkaterhelést. Add hozzá, ki irányítja a gazdagépet, és mely fájlok élik túl a munkamenetet. Az a adatvédelmi feljegyzés, amely csak az alagutat sorolja fel, az elrendezés felét írja le.