Несигурен VPN е три одделни граници, а не една

„Не му верувам на овој VPN“ обично се три тврдења облечени во една реченица. Далечните партнери на таа мрежа можат да стигнат до услугите на вашиот домаќин, операторот што го води тунелот може да го набљудува сообраќајот што минува низ него, а клиентскиот софтвер што сте го инсталирале може да ја менува мрежната политика на вашата машина. Уверувањето што вреди да се поправи е дека правило на ѕидот за заштита, виртуелна машина или внимателен избор на оперативен систем одговара на сите три. Секоја мерка одговара точно на една од нив.

Мит: една контрола го покрива целиот ризик

Вообичаената претпоставка е дека приклучувањето на несигурна мрежа е една одлука со едно ублажување. Луѓето ја избираат контролата во која веќе веруваат, ја применуваат и го сметаат ризикот за решен: ѕидот за заштита е вклучен, работниот простор е еднократен, клиентот доаѓа од реномиран добавувач.

Овие контроли не се преклопуваат онака како што претпоставката имплицира. Ѕидот за заштита на домаќинот ограничува до што може да стигне далечен партнер и не прави ништо против оператор што го завршува вашиот TLS. Виртуелната машина го одвојува работниот простор од датотеките на домаќинот и не прави ништо против клиентска компонента на која ѝ е дозволено повторно да го конфигурира мрежниот стек под обете. Да се именува границата што секоја контрола навистина ја создава е целата вежба.

Нивното разделување исто така ви кажува кој ризик избравте да прифатите. Повеќето вистински одлуки ублажуваат една граница и трпат друга, што е во ред сѐ додека записот за промената кажува која е која.

До што всушност може да стигне далечниот партнер

Започнете со услугите што слушаат. Тунелскиот интерфејс што се третира како широко доверлив затоа што неговите пакети пристигнаа шифрирани е вообичаената грешка, и таа го прави секој локален слушател возможна цел за секој друг на таа мрежа. Шифрирањето ја штити жицата помеѓу два краја; тоа не кажува ништо за намерата на партнерот од другата страна.

ss -tulpn
sudo nft list ruleset
ip -br addr

Врзете ги услугите за адресата што им е потребна наместо за секој интерфејс, и дозволете само операциите што ги бара одобрената задача. Држете ги препраќањето, мостот и проксирањето на апликации експлицитни, бидејќи две мрежни приклучувања сами по себе не создаваат транзитна патека, но правило за прокси сигурно може.

Одобрен работен простор за еднократна употреба го намалува она до што може да стигне далечната мрежа, но само кога неговата конфигурација за споделување одговара на тврдењето. Споделените папки, интеграцијата со клипинг таблата, агентите за акредитиви и каналите за управување сите ја преминуваат границата што работниот простор требаше да ја создаде. Етикетата на работниот простор не докажува ништо за тоа кои од нив се отворени.

Архитектурата на нула доверба на NIST го изразува принципот зад сето ова: самата местоположба во мрежата не дава имплицитна доверба. Автентикацијата на ресурсите сѐ уште има работа откако тунелот е дозволен, како и прашањето кој друг ја дели таа мрежа.

Што може да види операторот на патеката

VPN го преместува вашиот сообраќај на друго место на патеката; тој не додава шифрирање на апликациите. Ако добавувачот го заврши вашиот TLS, добавувачот може да чита што вашиот прелистувач инаку би го заштитил, и ниту едно локално правило на ѕидот за заштита тоа не го менува.

Одржувајте нормална проверка на сертификати за вистинската дестинација и разберете ја патеката на решавачот и метаподатоците, бидејќи барањето DNS може да открие повеќе од товарот што му претходи. Само метаподатоците, односно до кои адреси и кога сте се обратиле, честопати одговараат на прашањето на операторот без никаква потреба да се чита содржината. Затоа „сообраќајот е шифриран“ и „сообраќајот е приватен“ се различни тврдења.

Ако таа видливост е неприфатлива за задачата, одговорот е друга одобрена архитектура наместо повеќе локално филтрирање. Локалното филтрирање не може да отстрани набљудувач од патека на која тој сѐ уште седи.

Што смее да менува локалниот клиент

Ова е границата што луѓето ја пропуштаат, и таа е онаа што ги прави другите две бесмислени. На Linux, CAP_NET_ADMIN покрива конфигурација на интерфејси, администрација на ѕидот за заштита и промени на маршрути во својот мрежен контекст. Софтвер со таа способност може да ја препише политиката што штотуку ја напишавте.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Мрежниот именски простор е вистинска граница за мрежната состојба и слаба за сѐ друго: тој не го изолира датотечниот систем или складиштето на акредитиви. Третирајте го како еден слој, а не како контејнер за целиот проблем.

Набавете го клиентот и неговата конфигурација од одржуван извор, прегледајте ја власта што ја бара и држете ги привилегираните компоненти под контрола на администратор. Виртуелната машина може да биде дел од квалификувана граница за проценка без да стане дозвола за извршување на необјаснет инсталер покрај вредни акредитиви. Инсталерот работи со каква и да е власт што ќе му ја дадете, и таа власт е границата.

Запишете која граница сте ја прифатиле

Завршете со реченица што именува четири нешта: доверлив локален код, дозволен далечен пристап, заштитени податоци на апликациите и преостанатиот однос со операторот. Таа реченица вреди повеќе од општо тврдење дека VM, оперативен систем или антивирусен производ направиле непријателска мрежа безбедна.

Потоа потврдете дека тесната операција работи и дека бараното одбивање сѐ уште стои, вклучително и откако тунелот ќе падне. Граница што постои само додека тунелот е кренат не е границата што сте ја документирале.

Ниту еден тест не докажува дека секоја ранливост е отсутна, и преглед што тврди спротивното претерува. Честниот излез ја именува преостанатата ризик и лицето што ја прифатило.