Таныс емес OVPN файлдары: жергілікті тәуекел және қашықтағы сенім

OVPN файлын бағдарламаның кірісі ретінде қарастырыңыз, мазмұны зиянсыз деген куәлік ретінде емес. Сервер мекенжайын тексеру профильдің қайда қосылғысы келетінін ғана жауап береді, басқа ештеңе емес. Сол файлдың ішінде сенімнің екі бөлек шешімі бар: клиент сіздің машинаңызда не істей алады және қай оператор трафикті алады. Таныс протокол атауы екеуін де шешпейді.

Бір файлда екі шешім жасырын

Бірінші шешім жергілікті. Профиль конфигурация тілі, ал оны оқитын клиент плагин жүктейтін, скрипт іске қосатын немесе маршруттау мен DNS қалай қолданылатынын өзгертетін директиваларды қолдауы мүмкін. Екінші шешім қашықтағы. Файлда не болса да, шығу операторы өзіне жететін трафикті көреді.

Екеуін шатастыру екі бағытта да нашар кеңес береді: белгісіз оператордан таза көрінетін профиль, немесе ешкім оқымаған ілгегі бар танымал оператордың профилі. Жергілікті түрде қауіпсіз профиль де трафигіңізді өзіңіз таңдамайтын адамға бере алады.

Профильді кез келген клиенттен бұрын оқыңыз

Файлды кез келген клиент өңдеуден бұрын мәтін ретінде оқыңыз. Файлдан тыс жерге нұсқайтын, орындалатын файлдарға сілтеме жасайтын немесе артықшылықтарды өзгертетін директиваларды іздеп, сол тізімді клиенттің құжатталған қолдауымен салыстырыңыз. Қысқа іздеу қауіпсіздік аудиті емес, бірақ профильдің серверлер тізімі ме, әлде одан да көп нәрсе ме екенін айтады.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Бос нәтиже тыныштандырады және шешуші емес, өйткені опциялар өзара әрекеттесуі немесе қосылған файлдан келуі мүмкін. Сүзілген тізімді одан әрі оқуға себеп деп қараңыз, үкім деп емес.

Профильмен бірге келетін нұсқаулықтар профильдің өзі сияқты тексеруге лайық. Төрт сұраныс сізді тоқтатуы керек: скрипттерді қосу, көмекші немесе кітапхана орнату, клиентті әкімші ретінде іске қосу немесе импорт шектеуін әлсірету. Олардың әрқайсысы сенім шекарасын сыртқа жылжытады және ешқайсысы серверлер тізімін импорттаудың әдеттегі бөлігі емес.

Бүкіл файлды да бір рет оқып шығыңыз, өйткені бір таныс емес жолды мәтінмәнде бағалау сүзілген тізімге қарағанда оңай. Жол таныс емес болса, болжаудың орнына клиентіңіздің нұсқаулығынан іздеңіз.

Клиент нақты нені орындайды

Community OpenVPN 2.6 нұсқаулығы script-security сатыларын құжаттайды: 1-деңгей әдепкі және пайдаланушы анықтаған скрипттерді блоктайды, ал 2-деңгей оларға рұқсат береді. Плагиндерді жүктеу — өз директивасы бар жеке механизм. Сондықтан бір файл әртүрлі клиенттерде әртүрлі нәрсені білдіруі мүмкін. Мобильді және өндіруші клиенттері неғұрлым тар директивалар жиынтығын қабылдауы мүмкін, немесе ілгеқтердің ешқайсысын.

Іске қосу әдісі клиент сияқты маңызды. Артықшылығы бар көмекші іске қосқан профиль пайдаланушы кеңістігінде іске қосылғаннан көбірек істей алады, және бұл айырмашылық импорт хабарламасын елемеудің орнына оқуға себеп.

Нұсқа да маңызды, өйткені бұл деңгейлер әр шығарылым үшін анықталады және бірнеше нұсқа артта қалған клиент сол саясатты қолданбауы мүмкін. Өзіңіз іске қосатын құрастырылымға сәйкес нұсқаулықты оқыңыз, тауып алған ең жаңасын емес. Клиент еш жерде нұсқа жолын көрсетпесе, бұл қазірдің өзінде баяулауға себеп.

Операторды салыстырыңыз, тек мекенжайды емес

Операторларды кез келген басқа делдалды салыстырғандай салыстырыңыз. Шығуды кім басқарады, нені журналға жазады және профиль сізге қалай жетті деп сұраңыз. Расталған жүктеу беті мен сәйкес келетін саусақ ізі таныс хост атауынан көбірек айтады. Қолжетімді сервер тек бірдеңенің жауап бергенін дәлелдейді.

Тіркелгі деректері — адамдар қысым кезінде қателесетін бөлік. Сервер атауы таныс көрінгені үшін жүктелген профильге байланысы жоқ тіркелгінің құпия сөзін термеңіз. Профиль ашық түрде жеке кілтті де алып жүруі мүмкін, сондықтан бүкіл файлды шолу тақырыбында жариялау сол кілтті тақырыпқа береді.

Дұрыс валидацияланған HTTPS сессиясы бет мазмұнын тек пакеттерді жіберетін кез келген адамнан жасырады, сондықтан шығу әр құпия сөзді автоматты түрде көрмейді. Бірақ қай сайттарға жететініңізді көреді, және бұл шекараны асыра айтудың орнына дәл айту керек.

Файлдың шығу тегі белгісіз болып қалса немесе ол талап ететін артықшылықтың қабылдауға болатын түсіндірмесі болмаса, профильді есеп бере алатын дереккөзден алынған профильмен ауыстырыңыз. Басқарылатын жұмыс қосылымында әкімші клиент пен конфигурацияны екі емес, бір шешім ретінде бекітуі керек. Мұнда ешнәрсе алдымен қаскөйлікті дәлелдеуді талап етпейді; қолжетімділіктен бас тарту — заңды жауап.