Berkas OVPN tak dikenal: risiko lokal dan kepercayaan jarak jauh

Perlakukan berkas OVPN sebagai masukan bagi sebuah program, bukan sebagai sertifikat bahwa isinya tidak berbahaya. Memeriksa alamat server hanya menjawab ke mana profil ingin terhubung, dan tidak yang lain. Ada dua keputusan kepercayaan yang terpisah di dalam berkas itu: apa yang boleh dilakukan klien di mesin Anda, dan operator mana yang menerima lalu lintas. Nama protokol yang familier tidak menyelesaikan keduanya.

Dua keputusan tersembunyi dalam satu berkas

Keputusan pertama bersifat lokal. Profil adalah bahasa konfigurasi, dan klien yang membacanya mungkin mendukung direktif yang memuat plugin, menjalankan skrip, atau mengubah cara perutean dan DNS diterapkan. Keputusan kedua bersifat jarak jauh. Apa pun isi berkasnya, operator keluar melihat lalu lintas yang mencapainya.

Mencampur keduanya menghasilkan saran buruk di kedua arah: profil yang tampak bersih dari operator tak dikenal, atau profil operator terkenal dengan kait yang tidak dibaca siapa pun. Profil yang aman secara lokal tetap dapat menyerahkan lalu lintas Anda kepada orang yang tidak akan Anda pilih.

Baca profil itu sebelum klien mana pun melakukannya

Baca berkas itu sebagai teks sebelum klien mana pun memprosesnya. Cari direktif yang menunjuk ke luar berkas, merujuk program yang dapat dieksekusi, atau mengubah hak istimewa, lalu bandingkan daftar itu dengan dukungan klien yang terdokumentasi. Pencarian singkat bukan audit keamanan, tetapi memberi tahu apakah profil itu daftar server atau sesuatu yang lebih.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Hasil kosong memang melegakan dan tidak menyimpulkan, karena opsi dapat saling memengaruhi atau disediakan oleh berkas yang disertakan. Perlakukan daftar tersaring sebagai alasan untuk terus membaca, bukan sebagai putusan.

Petunjuk yang datang bersama profil pantas mendapat pengamatan yang sama seperti profil. Empat permintaan seharusnya menghentikan Anda: mengaktifkan skrip, memasang pembantu atau pustaka, menjalankan klien sebagai administrator, atau melemahkan pembatasan impor. Masing-masing menggeser batas kepercayaan ke luar, dan tak satu pun merupakan bagian biasa dari mengimpor daftar server.

Baca juga seluruh berkas sekali, karena satu baris yang tak dikenal lebih mudah dinilai dalam konteks daripada dalam daftar tersaring. Jika sebuah baris tak dikenal, carilah di manual klien Anda alih-alih menebak.

Apa yang sebenarnya akan dijalankan klien

Manual 2.6 Community OpenVPN mendokumentasikan tangga script-security: tingkat 1 adalah bawaan dan memblokir skrip yang ditentukan pengguna, sedangkan tingkat 2 mengizinkannya. Pemuatan plugin adalah fasilitas terpisah dengan direktifnya sendiri. Itulah sebabnya berkas yang sama dapat berarti berbeda di klien yang berbeda. Klien seluler dan klien vendor mungkin menerima kumpulan direktif yang lebih sempit, atau tidak satu pun dari kaitnya.

Cara peluncuran sama pentingnya dengan klien. Profil yang dijalankan oleh pembantu berhak istimewa dapat berbuat lebih banyak daripada yang dijalankan di ruang pengguna, dan perbedaan itu adalah alasan untuk membaca perintah impor alih-alih mengabaikannya.

Versi juga penting, karena tingkat ini didefinisikan per rilis dan klien yang tertinggal beberapa versi mungkin tidak menerapkan kebijakan yang sama. Bacalah manual yang cocok dengan build yang Anda jalankan, bukan yang terbaru yang Anda temukan. Jika klien tidak menampilkan string versi di mana pun, itu sudah alasan untuk melambat.

Bandingkan operatornya, bukan hanya alamatnya

Bandingkan operator seperti Anda membandingkan perantara lain mana pun. Tanyakan siapa yang menjalankan keluar, apa yang mereka catat, dan bagaimana profil itu sampai kepada Anda. Halaman unduhan yang terverifikasi dan sidik jari yang cocok lebih berarti daripada nama host yang familier. Server yang dapat dijangkau hanya membuktikan bahwa sesuatu menjawab.

Kredensial adalah bagian yang sering keliru saat tertekan. Jangan mengetik kata sandi akun yang tidak terkait ke dalam profil unduhan karena nama servernya tampak familier. Profil juga dapat membawa kunci privat secara terbuka, jadi memposting seluruh berkas di utas ulasan menyerahkan kunci itu kepada utas.

Sesi HTTPS yang divalidasi dengan benar tetap menyembunyikan isi halaman dari siapa pun yang hanya meneruskan paket, jadi operator keluar tidak otomatis melihat setiap kata sandi. Ia memang melihat situs mana yang Anda capai, dan batas itu layak dinyatakan dengan tepat alih-alih dibesar-besarkan.

Ketika asal berkas tetap tidak jelas, atau hak istimewa yang dimintanya tidak punya penjelasan yang dapat Anda terima, gantilah profil itu dengan yang berasal dari sumber yang dapat dimintai pertanggungjawaban. Pada koneksi kerja yang dikelola, administrator sebaiknya menyetujui klien dan konfigurasi sebagai satu keputusan, bukan dua. Tidak ada yang di sini menuntut Anda membuktikan niat buruk lebih dulu; menolak akses adalah jawaban yang sah.