Կարո՞ղ է VM-ի ներսում VPN-ը թաքցնել երթևեկությունը հոսթից։

Դուք տեղադրում եք կլիենտը վիրտուալ մեքենայի ներսում, թունելը բարձրանում է, և հյուրի երթևեկությունը գաղտնագրվում է։ Դա ինչ-որ արժեք ունի մեքենայից դուրս գտնվող ցանցի դեմ։ Բայց շատ ավելի քիչ է գնում հյուրին գործարկող օպերացիոն համակարգի դեմ, որը կարող է կարդալ հյուրի հիշողությունը և դիտել նրա էկրանը։ Ստորև բերված ստուգումները առանձնացնում են, թե ինչից է պաշտպանում թունելը և ինչ է պահում հոսթը։

Հոսթը բաց տեքստը կարդում է թունելից առաջ

Սեղանային հիպերվիզորը հյուրին տալիս է պրոցեսորի ժամանակ և կարող է կարդալ նրա գրած հիշողությունը, ներառյալ այն էջը, որը դիտարկիչը հենց նոր վերծանեց։ Հոսթի վրա գտնվող մոնիտորինգի գործիքը կարդում է այդ բաց տեքստը առանց գաղտնագրի վրա հարձակվելու, և նույն մակարդակի ստեղնագրիչը հավաքում է սեղմումները նախքան որևէ կլիենտ դրանք կփաթաթի։ Այս ամենից ոչինչ կոտրված VPN չի պահանջում, ուստի մաքուր թունելը կարող է կանգնել գործիքավորված հոսթի կողքին։

Այն, ինչ այս դիրքորոշումը չի հանձնում, հեռավոր ծայրի բանալիներն են կամ բովանդակությունը, որը պաշտպանում է մեկ այլ ծայրակետ ծայրից ծայր։ Թունելը դեռ դիմանում է այն ցանցի դեմ, որը հատում է․ բացը տեղական է։

Արտեֆակտները ապրում են սեսիայից ավելի

Դադարեցրեք VirtualBox-ի հյուրին, և կողքին հայտնվում է .sav ֆայլ՝ պահված հիշողության վիճակով։ VMware-ն թողնում է .vmem և .vmsn ֆայլեր կասեցման և պատկերների աշխատանքի ընթացքում, իսկ Hyper-V-ի ստուգման կետերը մեծացնում են .avhdx տարբերակային սկավառակները հոսթի ծավալի վրա։ Այդ ֆայլերից ոչ մեկը չի գաղտնագրվում հյուրի սկավառակի գաղտնագրմամբ։ Հոսթի էջային ֆայլը նույնպես կարող է ստանալ էջեր, որոնք հիպերվիզորը դուրս է մղել՝ այն հետքը, որի մասին Tails-ը զգուշացնում է իր վիրտուալացման ուղեցույցում։ Ստուգեք՝ արդյոք հիպերվիզորը պահում է պատկերներ և արդյոք հոսթի swap-ը գտնվում է գաղտնագրված ծավալի վրա։

Որոշեք պահպանման կանոն այդ ֆայլերի համար, փոխանակ վստահելու լռելյայնին, որը պահում է դրանք մինչև ինչ-որ մեկը ջնջի։ Ամնեզիկ սեսիա հայտարարող հյուրը ոչինչ չի փոխում սրանից․ ֆայլը գրում է հոսթը, ուստի գործում է հոսթի քաղաքականությունը։ Եթե չեք կարող ասել, թե որտեղ են ապրում պատկերները կամ ով կարող է բացել դրանք, ապա հյուրի ձևավորումը գնահատված չէ։

Սկավառակի գաղտնագրումը ծածկում է ավելի նեղ դեպք

Հյուրի սկավառակի գաղտնագրումը պաշտպանում է հանգստի մեջ գտնվող պատկերը, այլ մեքենա տարվող ծավալը կամ փախչող պահուստային պատճենը։ Այն ոչինչ չի անում, քանի դեռ հյուրը աշխատում է, որովհետև հիպերվիզորը հիշողությունը կարդում է այն բանից հետո, երբ հյուրը վերծանել է այն։ Ծածկաբառը դիտարկեք որպես պահված պատճենների պաշտպանություն, ոչ որպես վահան VM-ը գործարկող մեքենայի դեմ։

Բանալիները և կենդանի կատարումը առանձին հարցեր են։ Հոսթինգային կամ համատեղ միջավայրում մատակարարը կարող է պահել պատկերի բանալիները՝ հյուրին գործարկելով ձեր երբևէ չստուգված սարքաշարի վրա, ուստի գրանցեք երկու պատասխանները։

Փոխադրումը նույն տեսքը չէ

Նա, ով կրում է հյուրի թունելը, տեսնում է արտաքին ծայրակետերը, ժամանակավորումը և ծավալը, նույնիսկ երբ բեռնվածքը մնում է փակ։ Այդ ձևի մետատվյալները հաճախ պատասխանում են այն հարցին, որն իրականում ունի դիտորդը, ուստի դրանք դիտարկեք որպես բացահայտման մաս, ոչ որպես աղմուկ։ Ադապտորի ռեժիմը և երթուղավորումը որոշում են՝ արդյոք հոսթի մակարդակի VPN կանոնները առհասարակ դիպչում են հյուրի երթևեկությանը։

Փորձարկեք դա հյուրի ներսից, ոչ թե հոսթի դիտարկիչից։ Հոսթի դիտարկիչը կարող է ծածկված լինել, մինչ հյուրը ուղիղ դուրս է կամուրջացված, և երկուսը կարող են կիսել մեկ կապ՝ օգտագործելով տարբեր երթուղիներ։ Գրանցեք ադապտորի ռեժիմը, ապա նայեք որսին հոսթի ֆիզիկական ինտերֆեյսում՝ ենթադրությանը վստահելու փոխարեն։

Նեղացրեք անցումները, ապա գրեք արձանագրությունը

Գործարկեք հյուրին ձեր վերահսկած սարքաշարի վրա, պահեք հիպերվիզորը կարկատված և միացրեք համատեղ թղթապանակները, սեղանակիրով կիսվելը և քաշել-գցելը միայն այնտեղ, որտեղ աշխատանքը դրանք պահանջում է։ Դրանցից յուրաքանչյուրը ալիք է հոսթի և հյուրի միջև, և առաքված լռելյայնը սովորաբար ավելի բաց է, քան առաջադրանքը պահանջում է։ Անջատեք չօգտագործվող հյուրի հավելումները, ապա հաստատեք, որ կարգավորումները դիմանում են վերագործարկմանը, քանի որ թարմացումը կարող է վերականգնել այն, ինչ դուք անջատել էիք։

Այս քայլերը նեղացնում են անցումները․ դրանք հյուրին չեն դարձնում առանձին ֆիզիկական վստահության սահման։ Կարծրացված VM-ը որպես այդպիսի սահման դիտելն այն տեղն է, որտեղ ռիսկի գնահատումները սովորաբար սխալվում են։

Զգայուն աշխատանքի համար գրանցեք, թե ինչպես է երթևեկությունը երթուղավորվում և որ տեղական համակարգերն են գործարկում և պահում ծանրաբեռնվածությունը։ Ավելացրեք, թե ով է վերահսկում հոսթը և ինչ ֆայլեր են մնում սեսիայից հետո։ Գաղտնիության նշումը, որը թվարկում է միայն թունելը, նկարագրում է պայմանավորվածության կեսը։