Անծանոթ OVPN ֆայլեր. տեղական ռիսկ և վստահություն հեռվից

OVPN ֆայլը դիտեք որպես ծրագրի մուտքային տվյալ, ոչ որպես վկայագիր, թե դրա բովանդակությունը անվտանգ է։ Սերվերի հասցեն ստուգելը պատասխանում է միայն այն, թե ուր է պրոֆիլը ցանկանում միանալ, և ոչ այլ բանի։ Այդ ֆայլի ներսում կա վստահության երկու առանձին որոշում՝ ինչ կարող է client-ը անել ձեր մեքենայի վրա, և որ օպերատորն է ստանում երթևեկությունը։ Ծանոթ արձանագրության անունը չի լուծում դրանցից ոչ մեկը։

Մեկ ֆայլում թաքնված է երկու որոշում

Առաջին որոշումը տեղական է։ Պրոֆիլը կազմաձևման լեզու է, և այն կարդացող client-ը կարող է աջակցել հրահանգներ, որոնք բեռնում են plugin, գործարկում script կամ փոխում են, թե ինչպես են կիրառվում երթուղավորումը և DNS-ը։ Երկրորդ որոշումը հեռավոր է։ Ինչ էլ պարունակի ֆայլը, ելքի օպերատորը տեսնում է իրեն հասնող երթևեկությունը։

Երկուսը շփոթելը վատ խորհուրդ է տալիս երկու ուղղությամբ էլ՝ մաքուր տեսք ունեցող պրոֆիլ անհայտ օպերատորից, կամ հայտնի օպերատորի պրոֆիլ՝ կեռիկով, որը ոչ ոք չի կարդացել։ Տեղականորեն անվտանգ պրոֆիլը դեռ կարող է ձեր երթևեկությունը հանձնել մեկին, ում չէիք ընտրի։

Կարդացեք պրոֆիլը նախքան ցանկացած client դա կանի

Կարդացեք ֆայլը որպես տեքստ, նախքան ցանկացած client այն կմշակի։ Փնտրեք հրահանգներ, որոնք մատնանշում են ֆայլից դուրս, հղում են կատարում գործարկվող ֆայլերի կամ փոխում արտոնություններ, և համեմատեք այդ ցանկը client-ի փաստաթղթավորված աջակցության հետ։ Կարճ որոնումը անվտանգության աուդիտ չէ, բայց ասում է՝ պրոֆիլը սերվերների ցանկ է, թե ավելին։

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Դատարկ արդյունքը հանգստացնող է և ոչ վճռական, քանի որ ընտրանքները կարող են փոխազդել կամ գալ ներառված ֆայլից։ Զտված ցանկը համարեք շարունակելու պատճառ, ոչ դատավճիռ։

Պրոֆիլի հետ եկող հրահանգները արժանի են նույն ուշադրությանը, ինչ պրոֆիլը։ Չորս հարցում պետք է կանգնեցնի ձեզ՝ միացնել script-ները, տեղադրել օգնական կամ գրադարան, գործարկել client-ը որպես ադմինիստրատոր, կամ թուլացնել ներմուծման սահմանափակումը։ Նրանցից յուրաքանչյուրը վստահության սահմանը տանում է դուրս, և նրանցից ոչ մեկը սերվերների ցանկի ներմուծման սովորական մաս չէ։

Ամբողջ ֆայլը նույնպես մեկ անգամ կարդացեք, քանի որ մեկ անծանոթ տողը համատեքստում ավելի հեշտ է գնահատել, քան զտված ցանկում։ Եթե տողը անծանոթ է, փնտրեք այն ձեր client-ի ձեռնարկում՝ գուշակելու փոխարեն։

Ինչ է client-ը իսկապես գործարկելու

Community OpenVPN-ի 2.6 ձեռնարկը փաստաթղթավորում է script-security աստիճանները՝ 1-ին մակարդակը լռելյայն է և արգելափակում է օգտատիրոջ սահմանած script-ները, իսկ 2-րդ մակարդակը թույլատրում է դրանք։ Plugin-ների բեռնումը առանձին մեխանիզմ է՝ իր հրահանգով։ Այդ պատճառով նույն ֆայլը տարբեր client-ներում կարող է տարբեր բան նշանակել։ Բջջային և արտադրողի client-ները կարող են ընդունել ավելի նեղ հրահանգների հավաքածու, կամ կեռիկներից ոչ մեկը։

Գործարկման եղանակը նույնքան կարևոր է, որքան client-ը։ Արտոնյալ օգնականով գործարկված պրոֆիլը կարող է ավելի շատ բան անել, քան օգտատիրոջ տարածքում գործարկվածը, և այդ տարբերությունը պատճառ է կարդալու ներմուծման հուշումը, ոչ անտեսելու։

Տարբերակը նույնպես կարևոր է, քանի որ այս մակարդակները սահմանվում են յուրաքանչյուր թողարկման համար, և մի քանի տարբերակ հետ մնացած client-ը կարող է չկիրառել նույն քաղաքականությունը։ Կարդացեք ձեր գործարկած build-ին համապատասխան ձեռնարկը, ոչ թե ամենանորը, որ գտնեք։ Եթե client-ը ոչ մի տեղ չի ցուցադրում տարբերակի տող, դա արդեն դանդաղելու պատճառ է։

Համեմատեք օպերատորին, ոչ միայն հասցեն

Օպերատորներին համեմատեք այնպես, ինչպես ցանկացած այլ միջնորդի։ Հարցրեք՝ ով է ղեկավարում ելքը, ինչ են գրանցում, և ինչպես է պրոֆիլը հասել ձեզ։ Հաստատված ներբեռնման էջը և համընկնող մատնահետքը ավելի շատ բան են ասում, քան ծանոթ հոսթի անունը։ Հասանելի սերվերը ապացուցում է միայն, որ ինչ-որ բան պատասխանել է։

Մուտքի տվյալները այն մասն են, որտեղ մարդիկ ճնշման տակ սխալվում են։ Չմուտքագրեք չկապված հաշվի գաղտնաբառ ներբեռնված պրոֆիլում, որովհետև սերվերի անունը ծանոթ է թվում։ Պրոֆիլը կարող է նաև բացահայտ կրել մասնավոր բանալի, ուստի ամբողջ ֆայլը վերանայման թեմայում հրապարակելը այդ բանալին տալիս է թեմային։

Ճիշտ վավերացված HTTPS նստաշրջանը դեռ թաքցնում է էջի բովանդակությունը բոլորից, ովքեր պարզապես փոխանցում են փաթեթներ, ուստի ելքը ինքնաբերաբար չի տեսնում ամեն գաղտնաբառ։ Բայց տեսնում է, թե որ կայքերին եք հասնում, և այդ սահմանը արժե ճշգրիտ նշել, ոչ չափազանցել։

Այնտեղ, որտեղ ֆայլի ծագումը մնում է անհասկանալի, կամ այն պահանջած արտոնությունը բացատրություն չունի, որը կարող եք ընդունել, փոխարինեք պրոֆիլը մեկով՝ հաշվետու աղբյուրից։ Կառավարվող աշխատանքային կապում ադմինիստրատորը պետք է հաստատի client-ը և կազմաձևը որպես մեկ որոշում, ոչ երկու։ Այստեղ ոչինչ չի պահանջում նախ ապացուցել չարամտությունը. մուտքի մերժումը օրինական պատասխան է։