script-security-stig OpenVPN frá 0 til 3, og hvað hvert þeirra opnar
Hvert script-security-stig víkkar það sem snið má keyra: fyrst stjórnunaraðstoð, svo skriftur notandans, að lokum lykilorð í umhverfinu. Lestu tilskipanirnar.
Flyttu inn snið í skjáborðsforrit og fyrsta bilunin er oft lína sem forritið neitar að virða: skriftukrókur sem það keyrir ekki, eða script-security-gildi sem það telur of leyfisglatt. Að hækka töluna lætur gluggann hverfa. Það víkkar líka það sem þetta snið má keyra á vélinni þinni, sem er undarlegt að veita bara til að losna við viðvörun. Fylgdu innflutningnum að tilskipuninni og ákvörðunin verður áþreifanleg.
Frá innflutningsglugganum að tilskipuninni
Sniðið er textaskrá með tilskipunum og forritið les þær áður en nokkur göng liggja. Tilskipun eins og up, down eða tls-verify nefnir utanaðkomandi forrit sem OpenVPN á að keyra á ákveðnu augnabliki. Hvort OpenVPN er reiðubúið að keyra það er sérstilling sem heitir script-security, og sniðið stillir hana yfirleitt líka.
Viðvörunin snýst því ekki um dulritun eða skilríki. Hún snýst um stillingarskrá sem biður forritið að keyra eitthvað á vélinni, og um forritið sem athugar hvort núverandi leyfisstig þess heimili þá beiðni.
Tvær ólíkar bilanir líta eins út á þessu stigi. Snið sem biður um stig sem forritið veitir ekki framleiðir synjun. Snið sem biður um stig sem forritið veitir en skriftan vantar framleiðir í staðinn bilun við keyrslu, og þessu tvennu er ruglað saman í þráðum stuðnings. Annað er leyfisspurning og hitt er pökkunarpurning.
Hvað hvert stig opnar í raun
Stig 0 bannar köll á utanaðkomandi forrit algjörlega, sem er samkvæmt fyrir forrit sem stillir eigið viðmót án aðstoðar og andstætt fyrir það sem kallar á stýrikerfið. Stig 1, sjálfgefið, leyfir innbyggðu keyrsluskrárnar sem stilling viðmóts og leiða þarf á. Hvortugt stigið keyrir neitt sem notandinn lagði til.
| Level | What OpenVPN may execute | What it exposes |
|---|---|---|
| 0 | No external programs at all | Interface and route setup must not depend on helpers |
| 1 (default) | Built-in helpers such as ip, ifconfig, route or netsh | Privileged commands the platform already ships |
| 2 | Built-in helpers plus user-defined scripts | Whatever the named script does with the client's privileges |
| 3 | Everything above, plus passwords in environment variables | Credentials visible to child processes and their logs |
Stig 2 er áhugaverða mörkin, því það hleypir að skriftum sem notandinn skilgreinir. Frá þeim punkti gilda forréttindi forritsins fyrir kóða sem þú hefur kannski aldrei lesið, kallaður á augnablikum sem þú valdir ekki, í umhverfi sem inniheldur tengingarupplýsingar. Stig 3 gengur lengra og leyfir að lykilorð fari í gegnum umhverfisbreytur, sem er ástæðan fyrir því að handbókin lýsir því sem hugsanlega óöruggu.
Ekkert þessara talna er styrkleikastilling. Snið á stigi 3 hefur ekki betri dulritun en snið á stigi 1; það hefur einfaldlega stærra keyrsluyfirborð, og göngin eru eins.
Ákveddu hvað sniðinu er verðugt
Spurðu hvers vegna skriftan er til áður en þú spyrð hvaða stig hún þarf. Krókur sem ýtir DNS-stillingum eða lagar leið eftir tengingu er lögmæt ástæða til að keyra eitthvað. Krókur sem kallar á óþekkta tvítöluskrá í tímabundinni möppu er ástæða til að stöðva.
Slóð skriftunnar skiptir jafn miklu máli og skriftan. Afstæð slóð er leyst gagnvart þeirri möppu sem forritið notar, og skrifanleg mappa gerir einstakan innflutning að varanlegum keyrslustað. Algjörar slóðir í möppu sem notandinn getur ekki breytt eru formið sem æskilegt er.
Skriftur erfa líka umhverfi forritsins, þar sem auðkenni og tengingarupplýsingar búa. Einmitt þessi arfleifð gerir stig 3 hættulegt ásamt skriftu sem skráir umhverfi sitt, og þess vegna á greiningarútdráttur frá forriti með virkar skriftur skilið annað álit áður en honum er límdum inn í miða. Fjarlægðu umhverfið áður en þú deilir því.
grep -nE 'script-security|^up |^down |tls-verify' client.ovpnBreyttu einu, og fylgstu þá líka með niðurrifinu
Ef sniðið þarf sannarlega skriftu skaltu aðeins breyta stiginu og aðeins fyrir það snið. Keyrðu forritið í forgrunni með ítarlegri úttakstöflu svo eigin villur skriftunnar sjáist í stað þess að þjónustustjóri gleypi þær.
openvpn --config client.ovpn --script-security 2 --verb 3
ip route show defaultPrófaðu allan lífsferilinn, ekki bara tenginguna. Krókur við aftengingu sem bregst skilur leiðir eftir sem vísa á dauð göng, sem framleiðir vél sem lítur út fyrir að vera tengd og nær hvergi. Tengdu aftur einu sinni og aftengdu einu sinni áður en þú lýsir breytingunni lokið, og athugaðu leiðartöfluna eftir hvort tveggja.
Geymdu afrit af upprunalega sniðinu. Ef kerfisforrit útfærir ekki sama skriftulíkan getur eyðing tilskipana þar til innflutningur heppnast fjarlægt DNS- eða leiðarsamþættinguna sem göngin þurftu á að halda, og tengingin sem verður til auðkennir sig fullkomlega án þess að leysa neitt.
Ákvörðunin sem á að skrá er þröng: hvaða skrifta, á hvaða slóð, veitt á hvaða stigi, fyrir hvaða snið. Allt annað í sniðinu er óbreytt, og það er setning sem ritstjóri getur staðfest.