Непознати OVPN-датотеки: локален ризик и доверба од далечина

Третирајте ја OVPN-датотеката како влез за програма, а не како уверение дека нејзината содржина е безопасна. Проверката на адресата на серверот одговара само каде профилот сака да се поврзе и ништо друго. Во таа датотека стојат две одделни одлуки за доверба: што смее клиентот да прави на вашата машина и кој оператор го добива сообраќајот. Познато име на протокол не решава ниту една од двете.

Две одлуки се кријат во една датотека

Првата одлука е локална. Профилот е конфигурациски јазик, а клиентот што го чита може да поддржува директиви што вчитуваат приклучок, извршуваат скрипта или менуваат како се применуваат рутирањето и DNS. Втората одлука е оддалечена. Што и да содржи датотеката, операторот на излезот го гледа сообраќајот што стигнува до него.

Мешањето на двете дава лош совет во двете насоки: чисто изгледачки профил од непознат оператор или профил на познат оператор со кука што никој не ја прочитал. Профил што е локално безбеден сепак може да го предаде вашиот сообраќај на некој што не би го избрале.

Прочитајте го профилот пред да го направи тоа кој било клиент

Прочитајте ја датотеката како текст пред да ја обработи кој било клиент. Барајте директиви што покажуваат надвор од датотеката, се повикуваат на извршни датотеки или менуваат привилегии, и споредете го тој список со документираната поддршка на клиентот. Краткото пребарување не е безбедносна проверка, но ви кажува дали профилот е список на сервери или нешто повеќе.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Празниот резултат е смирувачки и не е конечен, зашто опциите можат да взаимодействуваат или да дојдат од вклучена датотека. Гледајте на филтрираниот список како на причина да читате понатаму, а не како на пресуда.

Упатствата што доаѓаат заедно со профилот заслужуваат исто внимание како и профилот. Четири барања треба да ве запрат: вклучување скрипти, инсталирање помошник или библиотека, извршување на клиентот како администратор или слабеење на ограничување за увоз. Секое од нив ја поместува границата на доверба нанадвор и ниту едно не е обичен дел од увозот на список на сервери.

Прочитајте ја и целата датотека еднаш, зашто една непозната линија полесно се проценува во контекст отколку во филтриран список. Ако линијата е непозната, побарајте ја во прирачникот за вашиот клиент наместо да гаѓате.

Што всушност ќе изврши клиентот

Прирачникот 2.6 на Community OpenVPN ги документира скалите на script-security: ниво 1 е стандардно и блокира скрипти дефинирани од корисникот, додека ниво 2 ги дозволува. Вчитувањето приклучоци е одделен механизам со своја директива. Затоа истата датотека може да значи различно во различни клиенти. Мобилните и клиентите на производители може да прифатат потесен сет директиви или ниту една од куките.

Начинот на стартување е исто толку важен како клиентот. Профил стартуван од привилегиран помошник може да направи повеќе од оној стартуван во кориснички простор, и таа разлика е причина да го прочитате барањето за увоз наместо да го отфрлите.

Верзијата исто така е важна, зашто овие нивоа се дефинираат по издание и клиент неколку верзии наназад може да не ја применува истата политика. Читајте го прирачникот што одговара на градбата што ја извршувате, а не најновата што ќе ја најдете. Ако клиентот никаде не прикажува низа за верзија, тоа е веќе причина да забавите.

Споредете го операторот, не само адресата

Споредувајте оператори како што споредувате кој било друг посредник. Прашајте кој го води излезот, што евидентираат и како стигна профилот до вас. Потврдена страница за преземање и совпаѓачки отпечаток од прст кажуваат повеќе од познато име на домаќин. Достапен сервер докажува само дека нешто одговорило.

Пристапните податоци се делот во кој луѓето под притисок грешат. Не внесувајте лозинка на неповрзана сметка во преземен профил затоа што името на серверот изгледа познато. Профилот може да носи и приватен клуч отворено, така што објавувањето на целата датотека во нишка за преглед му го предава тој клуч на нишката.

Правилно валидирана HTTPS-сесија се уште ја крие содржината на страницата од секој што само препраќа пакети, затоа излезот не ја гледа автоматски секоја лозинка. Гледа, пак, до кои места стигнувате, и таа граница вреди да се каже точно, а не преувеличено.

Кога потеклото на датотеката останува нејасно или привилегијата што ја бара нема објаснување што можете да го прифатите, заменете го профилот со оној од извор што може да биде повикан на одговорност. На управувана работна врска администраторот треба да ги одобри клиентот и конфигурацијата како една одлука, а не две. Ништо овде не бара прво да докажете лоша намера; одбивањето пристап е легитимен одговор.