უცნობი OVPN ფაილები: ლოკალური რისკი და დისტანციური ნდობა

OVPN ფაილს მოეპყარით როგორც პროგრამის შესავალ მონაცემს და არა როგორც სერტიფიკატს, რომ მისი შიგთავსი უვნებელია. სერვერის მისამართის შემოწმება პასუხობს მხოლოდ იმას, სად სურს პროფილს დაკავშირება და სხვა არაფერს. ამ ფაილში ორი ცალკე ნდობის გადაწყვეტილებაა: რისი გაკეთება შეუძლია კლიენტს თქვენს მანქანაზე და რომელი ოპერატორი იღებს ტრაფიკს. ნაცნობი პროტოკოლის სახელი არც ერთს არ წყვეტს.

ერთ ფაილში ორი გადაწყვეტილება იმალება

პირველი გადაწყვეტილება ლოკალურია. პროფილი კონფიგურაციის ენაა და მისი წამკითხველი კლიენტი შეიძლება მხარს უჭერდეს ინსტრუქციებს, რომლებიც ტვირთავს დანამატს, უშვებს სკრიპტს ან ცვლის, როგორ გამოიყენება მარშრუტიზაცია და DNS. მეორე გადაწყვეტილება დისტანციურია. რაც არ უნდა შეიცავდეს ფაილი, გასვლის ოპერატორი ხედავს ტრაფიკს, რომელიც მას აღწევს.

ორივის არევა ორივე მიმართულებით ცუდ რჩევას იძლევა: გარეგნულად სუფთა პროფილი უცნობი ოპერატორისგან, ან ცნობილი ოპერატორის პროფილი კაუჭით, რომელიც არავის წაუკითხავს. ლოკალურად უსაფრთხო პროფილს მაინც შეუძლია თქვენი ტრაფიკი გადასცეს მას, ვისაც არ აირჩევდით.

წაიკითხეთ პროფილი, სანამ რომელიმე კლიენტი ამას გააკეთებს

წაიკითხეთ ფაილი ტექსტად, სანამ რომელიმე კლიენტი დაამუშავებს მას. მოძებნეთ ინსტრუქციები, რომლებიც ფაილის გარეთ მიუთითებს, აღსრულებად ფაილებზე მიმართავს ან ცვლის უფლებებს, და შეადარეთ ეს სია კლიენტის დოკუმენტირებულ მხარდაჭერას. მოკლე ძიება უსაფრთხოების აუდიტი არ არის, მაგრამ გეტყვით, სერვერების სიაა პროფილი თუ უფრო მეტი.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

ცარიელი შედეგი დამამშვიდებელია და არა გადამწყვეტი, რადგან პარამეტრები შეიძლება ურთიერთქმედებდეს ან ჩართული ფაილიდან მოდიოდეს. გაფილტრული სია მიიღეთ გაგრძელების მიზეზად და არა განაჩენად.

პროფილთან ერთად მოსული ინსტრუქციები იმავე ყურადღებას იმსახურებს, რასაც თავად პროფილი. ოთხი მოთხოვნა უნდა შეგაჩეროთ: სკრიპტების ჩართვა, დამხმარის ან ბიბლიოთეკის დაყენება, კლიენტის ადმინისტრატორად გაშვება, ან იმპორტის შეზღუდვის შესუსტება. თითოეული მათგანი ნდობის საზღვარს გარეთ გადააქვს და არც ერთი არ არის სერვერების სიის იმპორტის ჩვეულებრივი ნაწილი.

მთელი ფაილი ერთხელაც წაიკითხეთ, რადგან ერთი უცნობი ხაზის შეფასება კონტექსტში უფრო ადვილია, ვიდრე გაფილტრულ სიაში. თუ ხაზი უცნობია, მოძებნეთ იგი თქვენი კლიენტის სახელმძღვანელოში და ნუ გამოიცნობთ.

რასაც კლიენტი რეალურად შეასრულებს

Community OpenVPN-ის 2.6 სახელმძღვანელო აღწერს script-security საფეხურებს: დონე 1 ნაგულისხმევია და ბლოკავს მომხმარებლის მიერ განსაზღვრულ სკრიპტებს, ხოლო დონე 2 ნებადართავს მათ. დანამატების ჩატვირთვა ცალკე მექანიზმია საკუთარი ინსტრუქციით. ამიტომ ერთი და იგივე ფაილი სხვადასხვა კლიენტში სხვადასხვა რამეს ნიშნავს. მობილური და მწარმოებლის კლიენტები შეიძლება უფრო ვიწრო ინსტრუქციათა ერთობლიობას იღებდნენ, ან არც ერთ კაუჭს.

გაშვების მეთოდი ისეთივე მნიშვნელოვანია, როგორც კლიენტი. პრივილეგირებული დამხმარის მიერ გაშვებულ პროფილს მეტი შეუძლია, ვიდრე მომხმარებლის სივრცეში გაშვებულს, და ეს განსხვავება იმპორტის მინიშნების წაკითხვის მიზეზია და არა უგულებელყოფის.

ვერსიასაც აქვს მნიშვნელობა, რადგან ეს დონეები ყოველი გამოშვებისთვის განისაზღვრება და რამდენიმე ვერსიით ჩამორჩენილმა კლიენტმა შეიძლება იგივე პოლიტიკა არ განახორციელოს. წაიკითხეთ თქვენ მიერ გაშვებული build-ის შესაბამისი სახელმძღვანელო და არა უახლესი, რომელსაც იპოვით. თუ კლიენტი არსად არ აჩვენებს ვერსიის სტრიქონს, ეს უკვე შენელების მიზეზია.

შეადარეთ ოპერატორი და არა მხოლოდ მისამართი

ოპერატორები შეადარეთ ისე, როგორც ნებისმიერ სხვა შუამავალს. ჰკითხეთ, ვინ მართავს გასასვლელს, რას აღრიცხავენ და როგორ მოგივიდათ პროფილი. დადასტურებული ჩამოტვირთვის გვერდი და შესაბამისი თითის ანაბეჭდი მეტს ამბობს, ვიდრე ნაცნობი ჰოსტის სახელი. მისაწვდომი სერვერი მხოლოდ იმას ამტკიცებს, რომ რაღაცამ უპასუხა.

საიდუმლო მონაცემები ის ნაწილია, სადაც ადამიანები ზეწოლის ქვეშ ცდებიან. ნუ შეიყვანთ დაუკავშირებელი ანგარიშის პაროლს ჩამოტვირთულ პროფილში იმიტომ, რომ სერვერის სახელი ნაცნობად გამოიყურება. პროფილს შეიძლება ღიად ჰქონდეს პირადი გასაღებიც, ამიტომ მთელი ფაილის განხილვის თემაში გამოქვეყნება ამ გასაღებს თემას გადასცემს.

სწორად ვალიდირებული HTTPS სესია კვლავ მალავს გვერდის შიგთავსს ყველასგან, ვინც მხოლოდ პაკეტებს გადასცემს, ამიტომ გასვლა ავტომატურად ვერ ხედავს ყველა პაროლს. თუმცა ხედავს, რომელ საიტებს აღწევთ, და ეს საზღვარი ზუსტად უნდა ითქვას და არა გაზვიადებით.

სადაც ფაილის წარმომავლობა გაურკვეველი რჩება, ან მის მიერ მოთხოვნილ უფლებას არ აქვს თქვენთვის მისაღები ახსნა, შეცვალეთ პროფილი ისეთით, რომელიც ანგარიშვალდებული წყაროდან მოდის. მართულ სამუშაო კავშირზე ადმინისტრატორმა კლიენტი და კონფიგურაცია ერთ გადაწყვეტილებად უნდა დაამტკიცოს და არა ორად. აქ არაფერი მოითხოვს, ჯერ ბოროტი განზრახვა დაამტკიცოთ; წვდომაზე უარი ლეგიტიმური პასუხია.