Neuzticams VPN ir trīs atsevišķas robežas, nevis viena

„Es neuzticos šim VPN“ parasti ir trīs apgalvojumi, kas ietērpti vienā teikumā. Tā tīkla attālie vienaudži var sasniegt pakalpojumus jūsu resursdatorā, operators, kas uztur tuneli, var novērot trafiku, kas tam iet cauri, un instalētā klienta programmatūra var mainīt jūsu mašīnas tīkla politiku. Uzskats, ko ir vērts labot, ir tāds, ka ugunsmūra noteikums, virtuālā mašīna vai rūpīga operētājsistēmas izvēle atbild uz visiem trim. Katrs pasākums atbild tieši uz vienu no tiem.

Mīts: viena kontrole sedz visu risku

Parastais pieņēmums ir tāds, ka pievienošanās neuzticamam tīklam ir viens lēmums ar vienu mīkstinājumu. Cilvēki izvēlas kontroli, kurai jau uzticas, to piemēro un uzskata risku par atrisinātu: ugunsmūris ir ieslēgts, darbvieta ir vienreizlietojama, klients nāk no reputāciju baudoša piegādātāja.

Šīs kontroles nepārklājas tā, kā pieņēmums liek domāt. Resursdatora ugunsmūris ierobežo, ko var sasniegt attāls vienaudzis, un neko nedara pret operatoru, kas izbeidz jūsu TLS. Virtuālā mašīna atdala darbvietu no jūsu resursdatora failiem, un neko nedara pret klienta komponentu, kam atļauts pārkonfigurēt tīkla steku zem abiem. Nosaukt robežu, ko katra kontrole patiešām rada, ir viss vingrinājums.

To atdalīšana arī pasaka, kādu risku esat izvēlējies pieņemt. Lielākā daļa reālo lēmumu mīkstina vienu robežu un pieļauj citu, un tas ir pareizi, kamēr vien izmaiņu ieraksts norāda, kura ir kura.

Ko attāls vienaudzis patiešām var sasniegt

Sāciet ar klausošajiem pakalpojumiem. Tuneļa saskarne, kas tiek uzskatīta par plaši uzticamu tāpēc, ka tās paketes ieradās šifrētas, ir ierasta kļūda, un tā padara katru vietējo klausītāju par iespējamu mērķi ikvienam citam tajā tīklā. Šifrēšana aizsargā vadu starp diviem galiem; tā neko nepasaka par vienaudža nodomu otrā galā.

ss -tulpn
sudo nft list ruleset
ip -br addr

Piesaistiet pakalpojumus adresei, kas tiem vajadzīga, nevis katrai saskarnei, un atļaujiet tikai tās darbības, ko prasa apstiprinātais uzdevums. Turiet pāradresāciju, tiltu un lietotņu starpnieku skaidri noteiktus, jo divi tīkla savienojumi paši par sevi nerada tranzīta ceļu, bet starpnieka noteikums to noteikti var.

Apstiprināta vienreizlietojama darbvieta samazina to, ko var sasniegt attālais tīkls, bet tikai tad, ja tās koplietošanas konfigurācija atbilst apgalvojumam. Koplietotās mapes, starpliktuves integrācija, akreditācijas datu aģenti un pārvaldības kanāli visi šķērso robežu, ko darbvietai bija jārada. Darbvietas etiķete neko nepierāda par to, kuri no tiem ir atvērti.

NIST nulles uzticēšanās arhitektūra formulē principu, kas ir aiz visa šā: tikai tīkla atrašanās vieta pati par sevi nedod netiešu uzticēšanos. Resursa autentifikācijai joprojām ir darbs pēc tam, kad tunelis ir atļauts, un arī jautājumam par to, kas vēl dala šo tīklu.

Ko operators ceļā var redzēt

VPN pārvieto jūsu trafiku uz citu ceļa vietu; tas nepievieno lietotņu šifrēšanu. Ja pakalpojumu sniedzējs izbeidz jūsu TLS, sniedzējs var lasīt to, ko jūsu pārlūks citādi būtu aizsargājis, un neviens vietējais ugunsmūra noteikums to nemaina.

Saglabājiet parasto sertifikātu validāciju īstajam galamērķim un izprotiet atrisinātāja un metadatu ceļu, jo DNS vaicājums var atklāt vairāk nekā kravu, kas tam iet pa priekšu. Tikai metadati, tas ir, ar kādām adresēm un kad sazinājāties, bieži atbild uz operatora jautājumu bez jebkādas vajadzības lasīt saturu. Tāpēc „trafiks ir šifrēts“ un „trafiks ir privāts“ ir dažādi apgalvojumi.

Ja šī redzamība uzdevumam nav pieņemama, atbilde ir cita apstiprināta arhitektūra, nevis vairāk vietējās filtrēšanas. Vietējā filtrēšana nevar noņemt novērotāju no ceļa, uz kura tas joprojām atrodas.

Ko drīkst mainīt vietējais klients

Šī ir robeža, ko cilvēki palaiž garām, un tieši tā padara pārējās divas bezjēdzīgas. Linux CAP_NET_ADMIN aptver saskarņu konfigurāciju, ugunsmūra administrēšanu un maršrutu izmaiņas tās tīkla kontekstā. Programmatūra ar šo spēju var pārrakstīt politiku, ko tikko uzrakstījāt.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Tīkla vārdu telpa ir īsta robeža tīkla stāvoklim un slikta visam pārējam: tā neizolē failu sistēmu vai akreditācijas datu krātuvi. Uztveriet to kā vienu slāni, nevis kā visa uzdevuma konteineru.

Iegūstiet klientu un tā konfigurāciju no uzturēta avota, pārskatiet tā pieprasīto pilnvaru un turiet priviliģētās komponentes administratora kontrolē. Virtuālā mašīna var būt daļa no kvalificētas novērtējuma robežas, nekļūstot par atļauju palaist neizskaidrotu instalētāju blakus vērtīgiem akreditācijas datiem. Instalētājs darbojas ar jebkuru pilnvaru, ko tam dodat, un šī pilnvara ir robeža.

Pierakstiet, kādu robežu esat pieņēmis

Beidziet ar teikumu, kas nosauc četras lietas: uzticamo vietējo kodu, atļauto attālo piekļuvi, aizsargātos lietotnes datus un atlikušās attiecības ar operatoru. Šis teikums ir vērtīgāks par vispārīgu apgalvojumu, ka VM, operētājsistēma vai antivīrusa produkts ir padarījis naidīgu tīklu drošu.

Pēc tam apstipriniet, ka šaurā darbība darbojas un prasītais atteikums joprojām ir spēkā, arī pēc tam, kad tunelis nokrīt. Robeža, kas pastāv tikai kamēr tunelis ir pacelts, nav tā robeža, ko esat dokumentējis.

Neviens tests nepierāda, ka visu ievainojamību nav, un pārskats, kas apgalvo pretējo, pārspīlē. Godīgs iznākums nosauc atlikušo risku un personu, kas to pieņēma.