Nepazīstami OVPN faili: vietējais risks un uzticēšanās no attāluma

Uztveriet OVPN failu kā programmas ievadi, nevis kā apliecinājumu, ka tā saturs ir nekaitīgs. Servera adreses pārbaude atbild tikai uz to, kur profils vēlas pieslēgties, un ne uz ko citu. Šajā failā ir divi atsevišķi uzticēšanās lēmumi: ko klients drīkst darīt jūsu mašīnā un kurš operators saņem trafiku. Pazīstams protokola nosaukums neatrisina nevienu no tiem.

Vienā failā slēpjas divi lēmumi

Pirmais lēmums ir vietējs. Profils ir konfigurācijas valoda, un to lasošais klients var atbalstīt direktīvas, kas ielādē spraudni, palaiž skriptu vai maina to, kā tiek piemērota maršrutēšana un DNS. Otrais lēmums ir attāls. Lai ko fails saturētu, izejas operators redz trafiku, kas tam pieplūst.

Abu sajaukšana rada sliktu padomu abos virzienos: tīri izskatīgs profils no nezināma operatora vai pazīstama operatora profils ar āķi, ko neviens nav lasījis. Profils, kas ir drošs lokāli, joprojām var nodot jūsu trafiku kādam, ko jūs neizvēlētos.

Izlasiet profilu pirms jebkura klienta

Lasiet failu kā tekstu, pirms to apstrādā jebkurš klients. Meklējiet direktīvas, kas norāda ārpus faila, atsaucas uz izpildāmajiem failiem vai maina privilēģijas, un salīdziniet šo sarakstu ar klienta dokumentēto atbalstu. Īsa meklēšana nav drošības audits, bet tā pasaka, vai profils ir serveru saraksts vai kaut kas vairāk.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Tukšs rezultāts nomierina un nav izšķirošs, jo opcijas var mijiedarboties vai nākt no iekļautā faila. Uztveriet filtrēto sarakstu kā iemeslu lasīt tālāk, nevis kā spriedumu.

Norādījumi, kas nāk kopā ar profilu, ir pelnījuši tādu pašu pārbaudi kā profils. Četri pieprasījumi jums būtu jāaptur: iespējot skriptus, instalēt palīgu vai bibliotēku, palaist klientu kā administratoru vai vājināt importa ierobežojumu. Katrs no tiem pārbīda uzticēšanās robežu uz āru, un neviens nav parasta serveru saraksta importa daļa.

Izlasiet arī visu failu vienreiz no sākuma līdz beigām, jo vienu nepazīstamu rindu ir vieglāk novērtēt kontekstā nekā filtrētā sarakstā. Ja rinda ir nepazīstama, meklējiet to sava klienta rokasgrāmatā, nevis miniet.

Ko klients faktiski izpildīs

Community OpenVPN 2.6 rokasgrāmata dokumentē script-security pakāpes: 1. līmenis ir noklusējums un bloķē lietotāja definētus skriptus, bet 2. līmenis tos atļauj. Spraudņu ielāde ir atsevišķs mehānisms ar savu direktīvu. Tāpēc viens un tas pats fails dažādos klientos var nozīmēt dažādas lietas. Mobilie un ražotāju klienti var pieņemt šaurāku direktīvu kopumu vai nevienu no āķiem.

Palaides metode ir tikpat svarīga kā klients. Profils, ko palaidusi privileģēta palīgprogramma, var darīt vairāk nekā tas, kas palaists lietotāja telpā, un šī atšķirība ir iemesls lasīt importa uzvedni, nevis to noraidīt.

Arī versijai ir nozīme, jo šīs pakāpes tiek definētas katram izlaidumam un klients, kas atpalicis par vairākām versijām, var neieviest to pašu politiku. Lasiet rokasgrāmatu, kas atbilst jūsu palaistajai būvējumam, nevis jaunāko, ko atrodat. Ja klients nekur neparāda versijas virkni, tas jau ir iemesls palēnināties.

Salīdziniet operatoru, ne tikai adresi

Salīdziniet operatorus tā, kā salīdzināt jebkuru citu starpnieku. Jautājiet, kas pārvalda izeju, ko viņi reģistrē un kā profils nonāca pie jums. Pārbaudīta lejupielādes lapa un atbilstošs pirksta nospiedums pasaka vairāk nekā pazīstams resursdatora nosaukums. Sasniedzams serveris pierāda tikai to, ka kaut kas atbildēja.

Piekļuves dati ir tā daļa, kurā cilvēki spiediena apstākļos kļūdās. Nerakstiet nesaistīta konta paroli lejupielādētā profilā tāpēc, ka servera nosaukums šķiet pazīstams. Profils var arī atklāti saturēt privāto atslēgu, tāpēc visa faila publicēšana apskata pavedienā nodod šo atslēgu pavedienam.

Pareizi validēta HTTPS sesija joprojām slēpj lapas saturu no ikviena, kas tikai pārsūta paketes, tāpēc izeja automātiski neredz katru paroli. Tā gan redz, kurus saitus jūs sasniedzat, un šo robežu ir vērts nosaukt precīzi, nevis pārspīlēt.

Tur, kur faila izcelsme paliek neskaidra vai tā pieprasītajai privilēģijai nav jums pieņemama skaidrojuma, aizstājiet profilu ar tādu, kas nāk no avota, kuru var saukt pie atbildības. Pārvaldītā darba savienojumā administratoram klients un konfigurācija būtu jāapstiprina kā viens lēmums, nevis divi. Nekas šeit neprasa vispirms pierādīt ļaunprātību; atteikties no piekļuves ir likumīga atbilde.