Չվստահված VPN-ը երեք առանձին սահման է, ոչ թե մեկը

«Ես չեմ վստահում այս VPN-ին» սովորաբար երեք պնդում է՝ հագցված մեկ նախադասության մեջ։ Այդ ցանցի հեռավոր զուգընկերները կարող են հասնել ձեր հոսթի ծառայություններին, թունելը վարող օպերատորը կարող է տեսնել դրա միջով անցնող երթևեկությունը, և ձեր տեղադրած հաճախորդային ծրագրաշարը կարող է փոխել ձեր մեքենայի ցանցային քաղաքականությունը։ Այն համոզմունքը, որն արժե ուղղել, այն է, որ հրդեհային պատի կանոնը, վիրտուալ մեքենան կամ օպերացիոն համակարգի զգույշ ընտրությունը պատասխանում են բոլոր երեքին։ Յուրաքանչյուր միջոց պատասխանում է դրանցից ուղիղ մեկին։

Առասպելը՝ մեկ վերահսկողություն ծածկում է ամբողջ ռիսկը

Սովորական ենթադրությունն այն է, որ չվստահված ցանցին միանալը մեկ որոշում է՝ մեկ մեղմացմամբ։ Մարդիկ ընտրում են այն վերահսկողությունը, որին արդեն վստահում են, կիրառում այն և ռիսկը համարում ավարտված՝ հրդեհային պատը միացված է, աշխատանքային տարածքը մեկանգամյա է, հաճախորդը եկել է հարգված մատակարարից։

Այդ վերահսկողությունները չեն համընկնում այնպես, ինչպես ենթադրությունը հուշում է։ Հոսթի հրդեհային պատը սահմանափակում է, թե ուր կարող է հասնել հեռավոր զուգընկերը, և ոչինչ չի անում ձեր TLS-ը վերջացնող օպերատորի դեմ։ Վիրտուալ մեքենան առանձնացնում է աշխատանքային տարածքը ձեր հոսթի ֆայլերից և ոչինչ չի անում հաճախորդային բաղադրիչի դեմ, որին թույլատրված է վերակազմավորել երկուսի տակ գտնվող ցանցային շերտը։ Յուրաքանչյուր վերահսկողության իրականում ստեղծած սահմանը անվանելը հենց ամբողջ վարժությունն է։

Դրանց բաժանումը նաև ասում է, թե որ ռիսկն եք ընտրել ընդունել։ Իրական որոշումների մեծ մասը մեղմացնում է մեկ սահման և հանդուրժում մյուսը, ինչը լավ է այնքան ժամանակ, քանի դեռ փոփոխության գրառումը նշում է, թե որն է որը։

Ինչի կարող է իրականում հասնել հեռավոր զուգընկերը

Սկսեք լսող ծառայություններից։ Թունելային ինտերֆեյսը, որը լայնորեն վստահելի է համարվում, որովհետև դրա փաթեթները ժամանել են գաղտնագրված, սովորական սխալն է, և այն յուրաքանչյուր տեղական լսողի դարձնում է հնարավոր թիրախ այդ ցանցում գտնվող ցանկացած մեկի համար։ Գաղտնագրումը պաշտպանում է երկու ծայրերի միջև լարը, այն ոչինչ չի ասում մյուս ծայրի զուգընկերի մտադրության մասին։

ss -tulpn
sudo nft list ruleset
ip -br addr

Կապեք ծառայությունները այն հասցեին, որն իրենց պետք է, ոչ թե յուրաքանչյուր ինտերֆեյսին, և թույլատրեք միայն այն գործողությունները, որոնք պահանջում է հաստատված առաջադրանքը։ Փոխանցումը, կամրջումը և հավելվածային պրոքսին պահեք բացահայտ, որովհետև երկու ցանցային միացումներ ինքնին տրանզիտ ուղի չեն ստեղծում, բայց պրոքսի կանոնը անպայման կարող է։

Հաստատված մեկանգամյա աշխատանքային տարածքը նվազեցնում է, թե ուր կարող է հասնել հեռավոր ցանցը, բայց միայն այն դեպքում, երբ դրա համօգտագործման կարգավորումը համապատասխանում է պնդմանը։ Համօգտագործվող թղթապանակները, սեղմատախտակի ինտեգրումը, հավատարմագրային գործակալները և կառավարման ուղիները բոլորն անցնում են այն սահմանը, որը աշխատանքային տարածքը պետք է ստեղծեր։ Աշխատանքային տարածքի պիտակը ոչինչ չի ապացուցում այն մասին, թե դրանցից որն է բաց։

NIST-ի զրոյական վստահության ճարտարապետությունը ձևակերպում է այս ամենի հետևում գտնվող սկզբունքը՝ միայն ցանցային դիրքը ենթադրյալ վստահություն չի տալիս։ Ռեսուրսի նույնականացումը դեռ աշխատանք ունի թունելը թույլատրվելուց հետո, և նույնը վերաբերում է այն հարցին, թե ով ևս կիսում է այդ ցանցը։

Ինչ կարող է տեսնել ուղու օպերատորը

VPN-ը ձեր երթևեկությունը տեղափոխում է ուղու այլ տեղ, այն հավելվածային գաղտնագրում չի ավելացնում։ Եթե մատակարարը վերջացնում է ձեր TLS-ը, մատակարարը կարող է կարդալ այն, ինչ ձեր դիտարկիչը հակառակ դեպքում կպաշտպաներ, և ոչ մի տեղական հրդեհային պատի կանոն դա չի փոխում։

Պահպանեք սովորական վկայագրի ստուգումը իրական նպատակակետի համար և հասկացեք լուծիչի և մետատվյալների ուղին, որովհետև DNS հարցումը կարող է ավելին բացահայտել, քան իրեն նախորդող ծանրաբեռնվածությունը։ Միայն մետատվյալները, այսինքն՝ թե որ հասցեներին և երբ եք դիմել, հաճախ պատասխանում են օպերատորի հարցին առանց բովանդակություն կարդալու որևէ անհրաժեշտության։ Այդ պատճառով «երթևեկությունը գաղտնագրված է» և «երթևեկությունը մասնավոր է» տարբեր պնդումներ են։

Եթե այդ տեսանելիությունը առաջադրանքի համար անընդունելի է, պատասխանը այլ հաստատված ճարտարապետություն է, ոչ թե ավելի շատ տեղական զտում։ Տեղական զտումը չի կարող հեռացնել դիտորդին այն ուղուց, որի վրա այն դեռ նստած է։

Ինչ է թույլատրված փոխել տեղական հաճախորդին

Սա այն սահմանն է, որը մարդիկ բաց են թողնում, և հենց այն մյուս երկուսն անիմաստ է դարձնում։ Linux-ում CAP_NET_ADMIN-ը ծածկում է ինտերֆեյսի կարգավորումը, հրդեհային պատի կառավարումը և երթուղու փոփոխությունները իր ցանցային համատեքստում։ Այդ կարողությունն ունեցող ծրագրաշարը կարող է վերագրել հենց նոր գրած քաղաքականությունը։

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ցանցային անվանատարածքը իրական սահման է ցանցային վիճակի համար և վատը՝ մնացած ամեն ինչի համար, այն չի մեկուսացնում ֆայլային համակարգը կամ հավատարմագրերի պահոցը։ Դիտարկեք այն որպես մեկ շերտ, ոչ թե ամբողջ խնդրի տարա։

Ձեռք բերեք հաճախորդը և դրա կարգավորումը սպասարկվող աղբյուրից, վերանայեք այն լիազորությունը, որը նա պահանջում է, և արտոնյալ բաղադրիչները պահեք ադմինիստրատորի վերահսկողության տակ։ Վիրտուալ մեքենան կարող է լինել որակավորված գնահատման սահմանի մաս՝ չդառնալով թույլտվություն արժեքավոր հավատարմագրերի կողքին չբացատրված տեղադրիչ գործարկելու։ Տեղադրիչը գործում է ցանկացած լիազորությամբ, որ դուք տալիս եք նրան, և այդ լիազորությունը սահմանն է։

Գրեք, թե որ սահմանն եք ընդունել

Ավարտեք նախադասությամբ, որը անվանում է չորս բան՝ վստահելի տեղական կոդը, թույլատրված հեռավոր մուտքը, պաշտպանված հավելվածային տվյալները և մնացող օպերատորական հարաբերությունը։ Այդ նախադասությունն ավելի արժեքավոր է, քան ընդհանուր պնդումը, թե վիրտուալ մեքենան, օպերացիոն համակարգը կամ հակավիրուսային արտադրանքն անվտանգ են դարձրել թշնամական ցանցը։

Այնուհետև հաստատեք, որ նեղ գործողությունը աշխատում է, և պահանջված մերժումը դեռ պահպանվում է, նաև այն բանից հետո, երբ թունելը ընկնում է։ Սահմանը, որը գոյություն ունի միայն այնքան ժամանակ, քանի դեռ թունելը բարձրացված է, այն սահմանը չէ, որը դուք փաստաթղթավորել եք։

Ոչ մի թեստ չի ապացուցում, որ բոլոր խոցելիությունները բացակայում են, և հակառակը պնդող վերանայումը չափազանցում է։ Ազնիվ արդյունքը անվանում է մնացորդային ռիսկը և այն անձին, ով ընդունել է այն։