Mit változtathat meg egy átadott VPN-profil az eszközén

Ha VPN-profilt ad a kliense kezébe, egy másvalaki által írt konfigurációt ad át neki, amelyet az a program aztán a gépén végrehajt. Az importálás megváltoztathatja, hová megy a lefedett forgalom, melyik partnerben bízik meg az eszköze, és bizonyos formátumokban azt is, mely helyi programok indulnak el, amikor az alagút feljön. A fájl nem könyvjelző; egy kis program deklaratív formátumban.

Úgy olvassa, ahogyan egy héjszkriptet olvasna ugyanabból a forrásból.

A kliens értelmezi, nem ön

A fájl minden mezője egy adott kliensnek szóló utasítás. A végpont és a protokoll dönti el, hová megy az alagút, a hitelesítési blokk dönti el, milyen titkot kérnek, és az útvonal-utasítások döntik el, mi kerül bele. A tanúsítványok vagy egy privát kulcs blokkokként beágyazhatók lehetnek, ahelyett hogy fájlként hivatkoznának rájuk, és ezért egyetlen szövegfájl néha mindent hordoz, ami ahhoz kell, hogy valaki önnek adja ki magát egy átjáró előtt. Ez a tulajdonság teszi olyan veszélyessé a kötetlen fájlmegosztást.

Az OpenVPN-profilok szkriptkampókat, bővítményútvonalakat és egy biztonsági szintet is hordozhatnak, amely szabályozza, hogy ezek a kampók futhatnak-e. Ez a kombináció teszi érdemessé egy ismeretlen profil soronkénti olvasását a dupla kattintás helyett. A kliens pontosan azt teszi, amit a fájl mond, és az ön jogosultságaival teszi.

Az útvonalváltozások egy kapcsolat után láthatók

A teljes alagút profilja olyan útvonalakat telepít, amelyek mindent az átjárón keresztül küldenek, míg a megosztott alagút profilja csak kiválasztott előtagokat küld. Egyes profilok DNS-kiszolgálót is tolnak, ami csendesen megváltoztatja, ki látja a lekérdezéseit. Ebből semmi nem rosszindulatú önmagában, és semmi nem nyilvánvaló a fájlnévből.

Hasonlítsa össze az útvonaltáblázatot az első kapcsolat előtt és után, és egy pillantással látni fogja a szándékot. Egy profil, amelyet egyetlen belső alkalmazás eléréseként hirdetnek, de szélesebb alapértelmezett útvonalat telepít, valamit elárul a szerzőjéről.

A bizalmi anyag és a kampók hordozzák az igazi súlyt

A profil bizalmi információt adhat a VPN-kliensnek, és egy platform-konfigurációs csomag tovább mehet, és tanúsítványt vagy gyökeret telepíthet egy rendszer-tárolóba. Ezek különböző hatókörök különböző következményekkel. Az ügyfél-hatókörű eset egy alkalmazás ellenőrzését érinti; a rendszerszintű eset mindent érint, ami a platform bizalmi tárolóját használja.

A szkriptkampók és a bővítmények a másik fél. Egy kapcsolódáskor parancsot futtató utasítás, vagy a kliensfolyamatba betöltött bővítmény az ön jogosultságaival rendelkezik, és semmivel a kliens elszigeteléséből. Ha egy nem kért profil tartalmaz ilyet, az kérdés annak, aki küldte.

A két kategória egyike sem automatikusan ellenséges. A vállalati telepítések mindkettőt használják. A lényeg, hogy mindegyik olyan magyarázatot igényel, amelyet ellenőrizni tud.

Ellenőrizze a származást, aztán adja meg a titkot

Állapítsa meg, ki adta ki a fájlt, egy olyan csatornán keresztül, amelyben már bízik, nem pedig azon az üzeneten keresztül, amely kézbesítette. Hasonlítsa össze a végpont és a tanúsítvány adatait az üzemeltető közzétett dokumentációjával. Ha egy profil kéretlenül érkezett, szerezzen újat közvetlenül az üzemeltetőtől, ahelyett hogy a kapott példányt javítaná. Kérdezze meg, melyik kliensverziót támogatja az üzemeltető, mert ugyanazt a fájlt egy másik kliens másképp értelmezheti.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Soha ne tegyen jelszót egy meg nem magyarázott mezőbe, hogy lássa, működik-e, és soha ne fogadjon el egy ismeretlen jogosultságkérést csak azért, hogy befejezzen egy importot. Egy sikeres kapcsolat azt bizonyítja, hogy a végpont válaszolt, semmi többet.

Az importált példányt távolítsa el, nem a letöltést

A kliensek a profiljukat a saját tárolójukba másolják, így a letöltött fájl törlése az importált kapcsolatot aktívan hagyja. Távolítsa el a kliens saját felületén keresztül, és ellenőrizze, hogy az importálás során hozzáadott tanúsítvány is eltűnt-e. Ezután erősítse meg, hogy a telepített útvonalak is eltűntek.

Ha egy tanúsítvány rendszerszinten települt, a profil eltávolítása nem elég. Az a tisztítás a platform bizalomkezeléséhez tartozik, és érdemes szándékosan elvégezni ahelyett, hogy a következő újraindításra bízná.