შეუძლია VM-ის შიგნით VPN-ს ტრაფიკი ჰოსტისგან დამალოს?

თქვენ აყენებთ კლიენტს ვირტუალურ მანქანაში, ტუნელი ამოდის და სტუმრის ტრაფიკი დაშიფრულია. ეს რაღაცას ღირს მანქანის გარეთ არსებული ქსელის წინააღმდეგ. სტუმრის გამტარებელი ოპერაციული სისტემის წინააღმდეგ გაცილებით ნაკლებს იძლევა, რადგან მას შეუძლია სტუმრის მეხსიერების წაკითხვა და მისი ეკრანის დაკვირვება. ქვემოთ მოცემული შემოწმებები ჰყოფს იმას, რისგანაც ტუნელი იცავს, იმისგან, რასაც ჰოსტი ინახავს.

ჰოსტი ღია ტექსტს ტუნელზე ადრე კითხულობს

დესკტოპ ჰიპერვიზორი სტუმარს პროცესორის დროს აძლევს და შეუძლია წაიკითხოს მის მიერ დაწერილი მეხსიერება, მათ შორის ის გვერდი, რომელიც ბრაუზერმა ახლახან გაშიფრა. ჰოსტზე არსებული მონიტორინგის ხელსაწყო კითხულობს ამ ღია ტექსტს შიფრზე თავდასხმის გარეშე, და იმავე დონის კლავიატურის ჩამწერი აგროვებს დაჭერებს მანამ, სანამ რომელიმე კლიენტი შეფუთავს მათ. ამათგან არცერთს გატეხილი VPN არ სჭირდება, ამიტომ სუფთა ტუნელი შეიძლება იდგეს ინსტრუმენტირებული ჰოსტის გვერდით.

რასაც ეს პოზიცია არ გადასცემს, არის შორეული ბოლოს გასაღებები, ან შიგთავსი, რომელსაც სხვა ბოლო წერტილიდან წერტილამდე იცავს. ტუნელი კვლავ უძლებს იმ ქსელს, რომელსაც კვეთს; უფსკრული ლოკალურია.

არტეფაქტები სესიაზე დიდხანს ცოცხლობენ

შეაჩერეთ VirtualBox-ის სტუმარი და მის გვერდით გამოჩნდება .sav ფაილი შენახული მეხსიერების მდგომარეობით. VMware ტოვებს .vmem და .vmsn ფაილებს შეჩერებისა და სნეპშოტების მუშაობისას, ხოლო Hyper-V-ის საკონტროლო წერტილები ზრდის .avhdx დიფერენციალურ დისკებს ჰოსტის ტომზე. ამ ფაილებიდან არცერთი არ არის დაშიფრული სტუმრის დისკის დაშიფვრით. ჰოსტის გვერდითი ფაილიც შეიძლება მიიღოს გვერდები, რომლებიც ჰიპერვიზორმა გამოდევნა, ის კვალი, რომლის შესახებაც Tails აფრთხილებს თავის ვირტუალიზაციის გზამკვლევში. შეამოწმეთ, ინახავს თუ არა ჰიპერვიზორი სნეპშოტებს და არის თუ არა ჰოსტის swap დაშიფრულ ტომზე.

განსაზღვრეთ შენახვის წესი ამ ფაილებისთვის ნაგულისხმევის ნდობის ნაცვლად, რომელიც ინახავს მათ, სანამ ვინმე წაშლის. ამნეზიურ სესიას რომელიც აცხადებს სტუმარი, ამაში არაფერს ცვლის; ფაილს ჰოსტი წერს, ამიტომ ჰოსტის პოლიტიკა მოქმედებს. თუ ვერ ამბობთ, სად ცხოვრობენ სნეპშოტები ან ვის შეუძლია მათი გახსნა, სტუმრის დიზაინი არ არის შეფასებული.

დისკის დაშიფვრა უფრო ვიწრო შემთხვევას ფარავს

სტუმრის დისკის დაშიფვრა იცავს მოსვენებულ იმიჯს, სხვა მანქანაზე გადატანილ ტომს ან გაქცეულ სარეზერვო ასლს. ის არაფერს აკეთებს, სანამ სტუმარი მუშაობს, რადგან ჰიპერვიზორი მეხსიერებას კითხულობს მას შემდეგ, რაც სტუმარმა გაშიფრა ის. პაროლის ფრაზას მიუდექით როგორც შენახული ასლების დაცვას, და არა როგორც ფარს VM-ის გამტარებელი მანქანის წინააღმდეგ.

გასაღებები და ცოცხალი შესრულება ცალკე კითხვებია. ჰოსტინგურ ან გაზიარებულ გარემოში პროვაიდერს შეიძლება ჰქონდეს იმიჯის გასაღებები, სტუმარს კი ისეთ ტექნიკაზე ატარებდეს, რომელსაც არასოდეს ამოწმებთ, ამიტომ ჩაწერეთ ორივე პასუხი.

ტრანსპორტი იგივე ხედი არ არის

ვინც სტუმრის ტუნელს ატარებს, ხედავს გარე ბოლო წერტილებს, დროსა და მოცულობას, მაშინაც კი, როცა დატვირთვა დახურული რჩება. ასეთი ფორმის მეტამონაცემები ხშირად პასუხობს იმ კითხვას, რომელიც დამკვირვებელს რეალურად აქვს, ამიტომ მათ მიუდექით როგორც გამჟღავნების ნაწილს და არა როგორც ხმაურს. ადაპტერის რეჟიმი და მარშრუტიზაცია წყვეტს, ეხება თუ არა ჰოსტის დონის VPN წესები სტუმრის ტრაფიკს საერთოდ.

სცადეთ ეს სტუმრის შიგნიდან, და არა ჰოსტის ბრაუზერიდან. ჰოსტის ბრაუზერი შეიძლება დაფარული იყოს, სანამ სტუმარი პირდაპირ გარეთ არის ხიდით დაკავშირებული, და ორივეს შეიძლება ერთი კავშირი გაიზიაროს სხვადასხვა მარშრუტის გამოყენებით. ჩაწერეთ ადაპტერის რეჟიმი, შემდეგ ნახეთ ჩაჭერა ჰოსტის ფიზიკურ ინტერფეისზე ვარაუდის ნდობის ნაცვლად.

შეამცირეთ გადასვლები, შემდეგ დაწერეთ ჩანაწერი

ატარეთ სტუმარი თქვენს მიერ კონტროლირებულ ტექნიკაზე, შეინარჩუნეთ ჰიპერვიზორი განახლებული და ჩართეთ საზიარო საქაღალდეები, ბუფერის გაზიარება და გადათრევა მხოლოდ იქ, სადაც სამუშაოს სჭირდება. თითოეული მათგანი არხია ჰოსტსა და სტუმარს შორის, და მოწოდებული ნაგულისხმევი ჩვეულებრივ უფრო ღიაა, ვიდრე დავალება მოითხოვს. გამორთეთ გამოუყენებელი სტუმრის დანამატები, შემდეგ დაადასტურეთ, რომ პარამეტრები გადაურჩება გადატვირთვას, რადგან განახლებამ შეიძლება აღადგინოს ის, რაც გამორთეთ.

ეს ნაბიჯები ავიწროებს გადასვლებს; ისინი სტუმარს არ აქცევს ცალკე ფიზიკურ ნდობის საზღვრად. გამაგრებული VM-ის ასეთ საზღვრად მიჩნევა არის ის ადგილი, სადაც რისკის შეფასებები ჩვეულებრივ ცდება.

მგრძნობიარე სამუშაოსთვის ჩაწერეთ, როგორ მარშრუტიზდება ტრაფიკი და რომელი ლოკალური სისტემები ატარებენ და ინახავენ დატვირთვას. დაამატეთ, ვინ აკონტროლებს ჰოსტს და რომელი ფაილები რჩება სესიის შემდეგ. კონფიდენციალურობის შენიშვნა, რომელიც მხოლოდ ტუნელს ჩამოთვლის, აღწერს შეთანხმების ნახევარს.