არასანდო VPN სამი ცალკე საზღვარია და არა ერთი

«ამ VPN-ს არ ვენდობი» ჩვეულებრივ სამი მტკიცებაა ერთ წინადადებაში გამოწყობილი. იმ ქსელში მყოფმა დისტანციურმა პირებმა შესაძლოა თქვენს ჰოსტზე არსებულ სერვისებს მიაღწიონ, გვირაბის მმართველმა ოპერატორმა შესაძლოა მის გავლით მიმავალი ტრაფიკი დაინახოს, ხოლო თქვენს მიერ დაყენებულმა კლიენტურმა პროგრამამ შესაძლოა თქვენი მანქანის ქსელური პოლიტიკა შეცვალოს. ის რწმენა, რომლის გამოსწორებაც ღირს, არის ის, რომ Firewall-ის წესი, ვირტუალური მანქანა ან ოპერაციული სისტემის ფრთხილი არჩევანი სამივეს პასუხობს. თითოეული ზომა ზუსტად ერთ მათგანს პასუხობს.

მითი: ერთი კონტროლი მთელ რისკს ფარავს

ჩვეულებრივი ვარაუდია, რომ არასანდო ქსელში შესვლა ერთი გადაწყვეტილებაა ერთი შემარბილებელი ზომით. ადამიანები ირჩევენ იმ კონტროლს, რომელსაც უკვე ენდობიან, იყენებენ მას და რისკს დასრულებულად თვლიან: Firewall ჩართულია, სამუშაო სივრცე ერთჯერადია, კლიენტი პატივსაცემი მომწოდებლისგან მოდის.

ეს კონტროლები არ ემთხვევა ისე, როგორც ვარაუდი მიუთითებს. ჰოსტის Firewall ზღუდავს, სადამდე შეიძლება მიაღწიოს დისტანციურმა პირმა, და არაფერს აკეთებს ოპერატორის წინააღმდეგ, რომელიც თქვენს TLS-ს ასრულებს. ვირტუალური მანქანა გამოყოფს სამუშაო სივრცეს თქვენი ჰოსტის ფაილებისგან და არაფერს აკეთებს კლიენტური კომპონენტის წინააღმდეგ, რომელსაც ნებადართული აქვს ორივეს ქვეშ არსებული ქსელური დასტის გადაკონფიგურირება. იმ საზღვრის დასახელება, რომელსაც თითოეული კონტროლი ნამდვილად ქმნის, მთელი ეს სავარჯიშოა.

მათი გამოყოფა ასევე გეუბნებათ, რომელი რისკი აირჩიეთ მისაღებად. რეალური გადაწყვეტილებების უმეტესობა ერთ საზღვარს ამცირებს და მეორეს იტანს, რაც ნორმალურია მანამ, სანამ ცვლილების ჩანაწერი ამბობს, რომელი რომელია.

რას შეიძლება რეალურად მიაღწიოს დისტანციურმა პირმა

დაიწყეთ მოსმენით მომუშავე სერვისებით. გვირაბის ინტერფეისი, რომელსაც ფართოდ სანდოდ თვლიან იმიტომ, რომ მისი პაკეტები დაშიფრული ჩამოვიდა, ჩვეულებრივი შეცდომაა და ის ყველა ლოკალურ მსმენელს პოტენციურ სამიზნედ აქცევს ნებისმიერი სხვისთვის იმ ქსელში. დაშიფვრა იცავს ორ ბოლოს შორის მავთულს; ის არაფერს ამბობს მეორე მხარეს მყოფი პირის განზრახვაზე.

ss -tulpn
sudo nft list ruleset
ip -br addr

მიამაგრეთ სერვისები იმ მისამართს, რომელიც მათ სჭირდებათ და არა ყველა ინტერფეისს, და დაუშვით მხოლოდ ის ოპერაციები, რომლებსაც დამტკიცებული ამოცანა მოითხოვს. გადაგზავნა, ხიდება და აპლიკაციების პროქსი ცხადად შეინახეთ, რადგან ორი ქსელური მიერთება თავისთავად ტრანზიტულ გზას არ ქმნის, მაგრამ პროქსის წესი ნამდვილად შეძლებს.

დამტკიცებული ერთჯერადი სამუშაო სივრცე ამცირებს იმას, სადამდე შეიძლება მიაღწიოს დისტანციურმა ქსელმა, მაგრამ მხოლოდ მაშინ, როცა მისი გაზიარების კონფიგურაცია მტკიცებას ემთხვევა. გაზიარებული საქაღალდეები, გაცვლის ბუფერის ინტეგრაცია, სერტიფიკატების აგენტები და მართვის არხები ყველა კვეთს იმ საზღვარს, რომელიც სამუშაო სივრცეს უნდა შეექმნა. სამუშაო სივრცის ეტიკეტი არაფერს ამტკიცებს იმაზე, თუ რომელი მათგანია ღია.

NIST-ის ნულოვანი ნდობის არქიტექტურა აყალიბებს პრინციპს, რომელიც ამ ყველაფრის უკან დგას: მხოლოდ ქსელური მდებარეობა იმპლიციტურ ნდობას არ იძლევა. რესურსის ავთენტიფიკაციას ჯერ კიდევ აქვს სამუშაო გვირაბის დაშვების შემდეგ, და ასევე კითხვას, თუ ვინ კიდევ იზიარებს ამ ქსელს.

რა შეიძლება დაინახოს ბილიკზე მყოფმა ოპერატორმა

VPN თქვენს ტრაფიკს ბილიკის სხვა ადგილზე გადააქვს; ის აპლიკაციის დაშიფვრას არ ამატებს. თუ მომწოდებელი თქვენს TLS-ს ასრულებს, მომწოდებელს შეუძლია წაიკითხოს ის, რასაც თქვენი ბრაუზერი სხვაგვარად დაიცავდა, და არც ერთი ლოკალური Firewall-ის წესი ამას არ ცვლის.

შეინარჩუნეთ სერტიფიკატების ჩვეულებრივი შემოწმება რეალური დანიშნულებისთვის და გაიაზრეთ გადამწყვეტისა და მეტამონაცემების ბილიკი, რადგან DNS მოთხოვნამ შეიძლება მეტი გამოავლინოს, ვიდრე მის წინ მიმავალი დატვირთვა. მხოლოდ მეტამონაცემები, ანუ რომელ მისამართებს და როდის დაუკავშირდით, ხშირად პასუხობს ოპერატორის კითხვას შიგთავსის წაკითხვის ყოველგვარი საჭიროების გარეშე. ამიტომ «ტრაფიკი დაშიფრულია» და «ტრაფიკი კერძოა» სხვადასხვა მტკიცებაა.

თუ ეს ხილვადობა ამოცანისთვის მიუღებელია, პასუხი სხვა დამტკიცებული არქიტექტურაა და არა მეტი ლოკალური ფილტრაცია. ლოკალური ფილტრაცია ვერ მოხსნის დამკვირვებელს იმ ბილიკიდან, რომელზეც ის ჯერ კიდევ ზის.

რისი შეცვლა შეუძლია ლოკალურ კლიენტს

ეს არის საზღვარი, რომელსაც ადამიანები გამოტოვებენ, და სწორედ ის ხდის დანარჩენ ორს უაზროს. Linux-ში CAP_NET_ADMIN მოიცავს ინტერფეისების კონფიგურაციას, Firewall-ის ადმინისტრირებას და მარშრუტების ცვლილებებს მის ქსელურ კონტექსტში. ამ შესაძლებლობის მქონე პროგრამას შეუძლია გადაწეროს პოლიტიკა, რომელიც ახლახან დაწერეთ.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

ქსელის სახელთა სივრცე ნამდვილი საზღვარია ქსელური მდგომარეობისთვის და ცუდია ყველა დანარჩენისთვის: ის არ იზოლირებს ფაილურ სისტემას ან სერტიფიკატების საცავს. მოექეცით მას როგორც ერთ ფენას და არა როგორც მთელი პრობლემის კონტეინერს.

მიიღეთ კლიენტი და მისი კონფიგურაცია მხარდაჭერილი წყაროდან, გადახედეთ მის მიერ მოთხოვნილ უფლებამოსილებას და პრივილეგირებული კომპონენტები ადმინისტრატორის კონტროლქვეშ შეინახეთ. ვირტუალური მანქანა შეიძლება იყოს კვალიფიციური შეფასების საზღვრის ნაწილი, აუხსნელი ინსტალატორის ღირებული სერტიფიკატების გვერდით გაშვების ნებართვად გადაქცევის გარეშე. ინსტალატორი მუშაობს ნებისმიერი უფლებამოსილებით, რომელსაც მისცემთ, და სწორედ ეს უფლებამოსილებაა საზღვარი.

ჩაწერეთ, რომელი საზღვარი მიიღეთ

დაასრულეთ წინადადებით, რომელიც ოთხ რამეს ასახელებს: სანდო ლოკალური კოდი, ნებადართული დისტანციური წვდომა, დაცული აპლიკაციის მონაცემები და დარჩენილი ოპერატორთან ურთიერთობა. ეს წინადადება უფრო ღირებულია, ვიდრე ზოგადი მტკიცება, რომ VM-მ, ოპერაციულმა სისტემამ ან ანტივირუსულმა პროდუქტმა მტრული ქსელი უსაფრთხო გახადა.

შემდეგ დაადასტურეთ, რომ ვიწრო ოპერაცია მუშაობს და მოთხოვნილი უარი კვლავ ძალაშია, გვირაბის ვარდნის შემდეგაც. საზღვარი, რომელიც მხოლოდ მაშინ არსებობს, სანამ გვირაბი აწეულია, არ არის ის საზღვარი, რომელიც დააფიქსირეთ.

არც ერთი ტესტი არ ამტკიცებს, რომ ყველა მოწყვლადობა არ არსებობს, და საწინააღმდეგოს მტკიცება გადაჭარბებაა. პატიოსანი შედეგი ასახელებს ნარჩენ რისკს და მას, ვინც ის მიიღო.