Nepatikimas VPN yra trys atskiros ribos, o ne viena

„Nepasitikiu šiuo VPN“ paprastai yra trys teiginiai, apsirengę vienu sakiniu. To tinklo nuotoliniai partneriai gali pasiekti paslaugas jūsų kompiuteryje, tunelį valdantis operatorius gali stebėti pro jį einantį srautą, o įdiegta kliento programinė įranga gali keisti jūsų mašinos tinklo politiką. Įsitikinimas, kurį verta taisyti, yra tas, kad ugniasienės taisyklė, virtualioji mašina ar kruopštus operacinės sistemos pasirinkimas atsako į visus tris. Kiekviena priemonė atsako tiksliai į vieną iš jų.

Mitas: viena kontrolė padengia visą riziką

Įprasta prielaida yra ta, kad prisijungimas prie nepatikimo tinklo yra vienas sprendimas su vienu švelninimu. Žmonės pasirenka kontrolę, kuria jau pasitiki, ją taiko ir laiko riziką sutvarkyta: ugniasienė įjungta, darbo aplinka vienkartinė, klientas iš reputaciją turinčio tiekėjo.

Šios kontrolės nesikloja taip, kaip numato prielaida. Pagrindinio kompiuterio ugniasienė riboja, ką gali pasiekti nuotolinis partneris, ir nieko nedaro prieš operatorių, kuris užbaigia jūsų TLS. Virtualioji mašina atskiria darbo aplinką nuo jūsų failų, ir nieko nedaro prieš kliento komponentą, kuriam leidžiama iš naujo konfigūruoti tinklo steką po abiem. Pavadinti ribą, kurią kiekviena kontrolė iš tikrųjų sukuria, yra visas pratimas.

Jų atskyrimas taip pat pasako, kokią riziką pasirinkote priimti. Dauguma realių sprendimų sušvelnina vieną ribą ir toleruoja kitą, ir tai gerai, kol pakeitimo įraše nurodyta, kuri yra kuri.

Ką nuotolinis partneris iš tikrųjų gali pasiekti

Pradėkite nuo klausančių paslaugų. Tunelio sąsaja, kuri laikoma plačiai patikima todėl, kad jos paketai atėjo užšifruoti, yra įprasta klaida, ir ji paverčia kiekvieną vietinį klausytoją galimu taikiniu visiems kitiems tame tinkle. Šifravimas saugo laidą tarp dviejų galų; jis nieko nesako apie partnerio ketinimus kitame gale.

ss -tulpn
sudo nft list ruleset
ip -br addr

Susiekite paslaugas su adresu, kurio joms reikia, o ne su kiekviena sąsaja, ir leiskite tik tas operacijas, kurių reikalauja patvirtinta užduotis. Laikykite persiuntimą, tiltą ir programų tarpinį serverį aiškiais, nes du tinklo pajungimai patys savaime nesukuria tranzito kelio, bet tarpinio serverio taisyklė tikrai gali.

Patvirtinta vienkartinė darbo aplinka sumažina, ką gali pasiekti nuotolinis tinklas, bet tik tada, kai jos bendrinimo konfigūracija atitinka teiginį. Bendrinami aplankai, iškarpinės integracija, kredencialų agentai ir valdymo kanalai visi kerta ribą, kurią darbo aplinka turėjo sukurti. Darbo aplinkos etiketė nieko neįrodo apie tai, kurie iš jų atidaryti.

NIST nulinio pasitikėjimo architektūra suformuluoja principą, kuris slypi už viso to: vien tinklo vieta nesuteikia implicitinio pasitikėjimo. Išteklių autentifikavimas vis dar turi darbo po to, kai tunelis priimtas, taip pat ir klausimas, kas dar dalijasi tuo tinklu.

Ką gali matyti operatorius kelyje

VPN perkelia jūsų srautą į kitą kelio vietą; jis neprideda programų šifravimo. Jei teikėjas užbaigia jūsų TLS, teikėjas gali skaityti tai, ką jūsų naršyklė būtų apsaugojusi, ir jokia vietinė ugniasienės taisyklė to nepakeis.

Išlaikykite įprastą sertifikatų tikrinimą tikram tikslui ir supraskite resolverio bei metaduomenų kelią, nes DNS užklausa gali atskleisti daugiau nei prieš ją einantis duomenų srautas. Vien metaduomenys, tai yra su kokiais adresais ir kada susisiekėte, dažnai atsako į operatoriaus klausimą be jokio poreikio skaityti turinį. Todėl „srautas užšifruotas“ ir „srautas privatus“ yra skirtingi teiginiai.

Jei tas matomumas užduočiai nepriimtinas, atsakymas yra kita patvirtinta architektūra, o ne daugiau vietinio filtravimo. Vietinis filtravimas negali pašalinti stebėtojo iš kelio, kuriame jis dar tebesėdi.

Ką gali keisti vietinis klientas

Tai riba, kurią žmonės praleidžia, ir būtent ji padaro kitas dvi beprasmes. Linux sistemoje CAP_NET_ADMIN apima sąsajų konfigūraciją, ugniasienės administravimą ir maršrutų pakeitimus savo tinklo kontekste. Programinė įranga, turinti šią galimybę, gali perrašyti politiką, kurią ką tik parašėte.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Tinklo vardų erdvė yra tikra riba tinklo būsenai ir prasta viskam kitam: ji neizoliuoja failų sistemos ar kredencialų saugyklos. Traktuokite ją kaip vieną sluoksnį, o ne kaip visos problemos konteinerį.

Gaukite klientą ir jo konfigūraciją iš prižiūrimo šaltinio, peržiūrėkite jo prašomą teisę ir laikykite privilegijuotus komponentus administratoriaus kontrolėje. Virtualioji mašina gali būti kvalifikuotos vertinimo ribos dalis, netapdama leidimu paleisti nepaaiškintą diegėją šalia vertingų kredencialų. Diegėjas veikia su kokia tik jam suteiksite teise, ir ta teisė yra riba.

Užrašykite, kokią ribą priėmėte

Užbaikite sakiniu, kuriame įvardyti keturi dalykai: patikimas vietinis kodas, leidžiama nuotolinė prieiga, apsaugoti programų duomenys ir likę santykiai su operatoriumi. Tas sakinys vertas daugiau nei bendras teiginys, kad VM, operacinė sistema ar antivirusinė programa padarė priešišką tinklą saugiu.

Tada patvirtinkite, kad siaura operacija veikia ir reikalaujamas atmetimas vis dar galioja, įskaitant ir po to, kai tunelis nukrenta. Riba, kuri egzistuoja tik kol tunelis pakeltas, nėra ta riba, kurią dokumentavote.

Joks testas neįrodo, kad visų pažeidžiamumų nėra, ir apžvalga, teigianti priešingai, perdeda. Sąžininga išvada įvardija likutinę riziką ir asmenį, kuris ją priėmė.