Apa yang bisa diubah profil VPN yang diserahkan di perangkat Anda

Menyerahkan profil VPN kepada klien Anda berarti menyerahkan konfigurasi yang ditulis orang lain, yang kemudian dijalankan program itu di mesin Anda. Mengimpornya bisa mengubah ke mana lalu lintas tercakup pergi, rekan mana yang dipercaya perangkat Anda, dan pada beberapa format, program lokal mana yang berjalan saat terowongan naik. Berkas itu bukan penanda; ia adalah program kecil dalam format deklaratif.

Bacalah seperti Anda membaca skrip shell dari sumber yang sama.

Klien yang menafsirkannya, bukan Anda

Setiap bidang dalam berkas adalah instruksi kepada klien tertentu. Titik akhir dan protokol menentukan ke mana terowongan pergi, blok autentikasi menentukan rahasia apa yang diminta, dan direktif rute menentukan apa yang masuk ke dalamnya. Sertifikat atau kunci privat bisa disematkan sebagai blok alih-alih dirujuk sebagai berkas, dan karena itulah satu berkas teks kadang membawa segala yang diperlukan untuk menyamar sebagai Anda di hadapan gerbang. Sifat itulah yang membuat berbagi berkas secara sembarangan begitu berbahaya.

Profil OpenVPN juga bisa membawa kait skrip, jalur plugin, dan tingkat keamanan yang mengatur apakah kait itu boleh berjalan. Kombinasi itulah yang membuat profil asing layak dibaca baris demi baris alih-alih klik ganda. Klien akan melakukan persis apa yang dikatakan berkas, dan melakukannya dengan hak istimewa Anda.

Perubahan perutean terlihat setelah satu koneksi

Profil terowongan penuh memasang rute yang mengirim semuanya lewat gerbang, sedangkan profil terowongan terbelah hanya mengirim prefiks terpilih. Sebagian profil juga mendorong server DNS, yang diam-diam mengubah siapa yang melihat kueri Anda. Tidak ada yang berniat jahat dengan sendirinya, dan tidak ada yang jelas dari nama berkas.

Bandingkan tabel perutean sebelum dan sesudah koneksi pertama dan Anda akan melihat niatnya dalam satu pandangan. Profil yang diiklankan sebagai akses ke satu aplikasi internal tetapi memasang rute bawaan yang lebih luas memberi tahu Anda sesuatu tentang penulisnya.

Materi kepercayaan dan kaitlah yang memikul beban sebenarnya

Profil dapat memasok informasi kepercayaan kepada klien VPN, dan paket konfigurasi platform bisa lebih jauh dengan memasang sertifikat atau akar ke penyimpanan sistem. Itu cakupan berbeda dengan konsekuensi berbeda. Kasus pada cakupan klien memengaruhi validasi satu aplikasi; kasus pada tingkat sistem memengaruhi segala hal yang memakai penyimpanan kepercayaan platform.

Kait skrip dan plugin adalah separuh lainnya. Direktif yang menjalankan perintah saat terhubung, atau plugin yang dimuat ke proses klien, memiliki hak istimewa Anda dan tidak memiliki pengurungan klien. Jika profil yang tidak Anda minta memuat salah satunya, itu pertanyaan bagi orang yang mengirimkannya.

Tidak ada dari kedua kategori itu yang otomatis bermusuhan. Penerapan korporat memakai keduanya. Intinya, masing-masing menuntut penjelasan yang bisa Anda periksa.

Verifikasi asal-usul, lalu masukkan rahasianya

Pastikan siapa yang menerbitkan berkas lewat saluran yang sudah Anda percaya, bukan lewat pesan yang mengantarkannya. Bandingkan detail titik akhir dan sertifikat dengan dokumentasi yang diterbitkan operator. Jika profil datang tanpa diminta, dapatkan yang baru langsung dari operator alih-alih memperbaiki salinan yang diberikan kepada Anda. Tanyakan versi klien mana yang didukung operator, karena berkas yang sama bisa ditafsirkan berbeda oleh klien lain.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Jangan pernah menaruh kata sandi di bidang yang tidak dijelaskan untuk melihat apakah berhasil, dan jangan pernah menerima permintaan hak istimewa asing hanya untuk menyelesaikan impor. Koneksi yang berhasil membuktikan titik akhir menjawab, tidak lebih.

Hapus salinan yang diimpor, bukan unduhannya

Klien menyalin profil ke penyimpanan mereka sendiri, jadi menghapus berkas yang diunduh meninggalkan koneksi impor tetap aktif. Hapus melalui antarmuka klien itu sendiri, dan periksa apakah sertifikat yang ditambahkan saat impor juga hilang. Lalu pastikan rute yang dipasangnya juga hilang.

Jika sertifikat dipasang pada cakupan sistem, menghapus profil tidak cukup. Pembersihan itu termasuk pengelolaan kepercayaan platform, dan layak dilakukan dengan sengaja alih-alih berharap reboot berikutnya menanganinya.