Што може да промени предаден VPN профил на вашиот уред

Кога му предавате VPN профил на вашиот клиент, му предавате конфигурација напишана од некој друг, која таа програма потоа ја извршува на вашата машина. Неговото внесување може да промени каде оди опфатениот сообраќај, на кој противник вашиот уред му верува и во некои формати кои локални програми се стартуваат кога тунелот се крева. Датотеката не е обележувач; таа е мала програма во декларативен формат.

Читајте ја како што би читале командна скрипта од истиот извор.

Клиентот ја толкува, не вие

Секое поле во датотеката е инструкција до определен клиент. Крајната точка и протоколот одлучуваат каде оди тунелот, блокот за автентикација одлучува кое тајно се бара, а насоките за рути одлучуваат што влегува во него. Сертификатите или приватен клуч можат да бидат вградени како блокови наместо да се наведуваат како датотеки, и затоа една текстуална датотека понекогаш носи сѐ што е потребно за да се претстави некој како вас пред порта. Токму тоа својство го прави обичното споделување датотеки толку опасно.

OpenVPN профилите можат да носат и скриптни куки, патеки до приклучоци и ниво на безбедност што одредува дали тие куки смеат да се извршуваат. Токму таа комбинација го прави непознатиот профил достоен за читање ред по ред наместо двоен клик. Клиентот ќе го направи точно она што го вели датотеката, и тоа со вашите привилегии.

Промените во рутирањето се гледаат по една врска

Профилот со целосен тунел инсталира рути што сѐ испраќаат низ портата, додека профилот со поделен тунел испраќа само избрани префикси. Некои профили истиснуваат и DNS сервер, што тивко менува кој ги гледа вашите барања. Ништо од тоа не е злонамерно само по себе, и ништо од тоа не е очигледно од името на датотеката.

Споредете ја табелата со рути пред и по првата врска и ќе ја видите намерата со еден поглед. Профил рекламиран како пристап до една внатрешна апликација, а инсталира поширока стандардна рута, ви кажува нешто за неговиот автор.

Материјалот за доверба и куките го носат вистинскиот товар

Профилот може да му даде информации за доверба на VPN клиентот, а пакетот за конфигурација на платформата може да оди подалеку и да инсталира сертификат или корен во системско складиште. Тоа се различни опфати со различни последици. Случајот во опфатот на клиентот влијае на проверката на една апликација; случајот на системско ниво влијае на сѐ што го користи складиштето за доверба на платформата.

Скриптните куки и приклучоците се другата половина. Насока што извршува команда при поврзување, или приклучок вчитан во процесот на клиентот, ги има вашите дозволи и ништо од изолацијата на клиентот. Ако профил што не сте го побарале содржи такво, тоа е прашање за личноста што го испратила.

Ниту една од двете категории не е автоматски непријателска. Корпоративните распоредувања ги користат и двете. Поентата е дека секоја бара објаснување што можете да го проверите.

Проверете го потеклото, потоа внесете ја тајната

Утврдете кој ја издал датотеката преку канал на кој веќе му верувате, а не преку пораката што ја доставила. Споредете ги податоците за крајната точка и сертификатот со објавената документација на операторот. Ако профил пристигнал без барање, набавете нов директно од операторот наместо да ја поправате копијата што ви ја дале. Прашајте која верзија на клиент ја поддржува операторот, зашто истиот документ може различно да го протолкува друг клиент.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Никогаш не ставајте лозинка во необјаснето поле за да видите дали работи, и никогаш не прифаќајте непознато барање за привилегии само за да завршите внесување. Успешната врска докажува дека крајната точка одговорила, ништо повеќе.

Отстранете ја внесената копија, не преземањето

Клиентите копираат профил во сопственото складиште, така што бришењето на преземената датотека ја остава внесената врска активна. Отстранете ја преку сопствениот интерфејс на клиентот и проверете дали исчезнал и секој сертификат додаден при внесувањето. Потоа потврдете дека исчезнале и рутите што ги инсталирал.

Ако сертификат бил инсталиран на системско ниво, отстранувањето на профилот не е доволно. Тоа чистење припаѓа на управувањето со доверба на платформата, и вреди да се направи намерно наместо да се надевате дека следното рестартирање ќе го реши.