അപരിചിത OVPN ഫയലുകൾ: പ്രാദേശിക അപായവും ദൂരെയുള്ള വിശ്വാസവും

OVPN ഫയലിനെ ഒരു പ്രോഗ്രാമിന്റെ ഇൻപുട്ടായി കാണുക, അതിലെ ഉള്ളടക്കം നിരുപദ്രവമാണെന്ന സർട്ടിഫിക്കറ്റായി അല്ല. സെർവറിന്റെ വിലാസം പരിശോധിക്കുന്നത് പ്രൊഫൈൽ എവിടെ ബന്ധിപ്പിക്കാൻ ആഗ്രഹിക്കുന്നു എന്നതിന് മാത്രം ഉത്തരം നൽകുന്നു, മറ്റൊന്നിനും അല്ല. ആ ഫയലിനുള്ളിൽ വിശ്വാസത്തിന്റെ രണ്ട് വേറിട്ട തീരുമാനങ്ങളുണ്ട്: നിങ്ങളുടെ മെഷീനിൽ ക്ലയന്റിന് എന്ത് ചെയ്യാം, ഏത് ഓപ്പറേറ്ററാണ് ട്രാഫിക് സ്വീകരിക്കുന്നത്. പരിചിതമായ പ്രോട്ടോക്കോൾ പേര് രണ്ടിലൊന്നും തീരുമാനിക്കുന്നില്ല.

ഒരു ഫയലിൽ രണ്ട് തീരുമാനങ്ങൾ ഒളിഞ്ഞിരിക്കുന്നു

ആദ്യ തീരുമാനം പ്രാദേശികമാണ്. പ്രൊഫൈൽ ഒരു കോൺഫിഗറേഷൻ ഭാഷയാണ്, അത് വായിക്കുന്ന ക്ലയന്റ് പ്ലഗിൻ ലോഡ് ചെയ്യുന്ന, സ്ക്രിപ്റ്റ് പ്രവർത്തിപ്പിക്കുന്ന അല്ലെങ്കിൽ റൂട്ടിംഗും DNS ഉം എങ്ങനെ പ്രയോഗിക്കുന്നു എന്നത് മാറ്റുന്ന നിർദ്ദേശങ്ങൾ പിന്തുണയ്ക്കാം. രണ്ടാമത്തെ തീരുമാനം ദൂരെയാണ്. ഫയലിൽ എന്തുണ്ടായാലും, എക്സിറ്റ് ഓപ്പറേറ്റർ അതിലേക്ക് എത്തുന്ന ട്രാഫിക് കാണുന്നു.

രണ്ടും കൂട്ടിക്കുഴയ്ക്കുന്നത് ഇരു ദിശകളിലും മോശം ഉപദേശം നൽകുന്നു: അപരിചിത ഓപ്പറേറ്ററിൽ നിന്നുള്ള വൃത്തിയായി കാണുന്ന പ്രൊഫൈൽ, അല്ലെങ്കിൽ ആരും വായിക്കാത്ത ഹുക്കുള്ള പ്രശസ്ത ഓപ്പറേറ്ററുടെ പ്രൊഫൈൽ. പ്രാദേശികമായി സുരക്ഷിതമായ പ്രൊഫൈലിനും നിങ്ങൾ തിരഞ്ഞെടുക്കാത്ത ഒരാൾക്ക് ട്രാഫിക് നൽകാം.

ഏതെങ്കിലും ക്ലയന്റ് ചെയ്യുന്നതിന് മുൻപ് പ്രൊഫൈൽ വായിക്കുക

ഏതെങ്കിലും ക്ലയന്റ് പ്രോസസ്സ് ചെയ്യുന്നതിന് മുൻപ് ഫയൽ എഴുത്തായി വായിക്കുക. ഫയലിന് പുറത്തേക്ക് ചൂണ്ടുന്ന, എക്സിക്യൂട്ടബിളുകളെ പരാമർശിക്കുന്ന അല്ലെങ്കിൽ പ്രത്യേകാവകാശങ്ങൾ മാറ്റുന്ന നിർദ്ദേശങ്ങൾ തിരയുക, ആ പട്ടിക ക്ലയന്റിന്റെ രേഖപ്പെടുത്തിയ പിന്തുണയുമായി താരതമ്യം ചെയ്യുക. ചെറിയ തിരയൽ സുരക്ഷാ പരിശോധനയല്ല, പക്ഷേ പ്രൊഫൈൽ സെർവർ പട്ടികയാണോ അതിലധികമാണോ എന്ന് അത് പറയും.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

ശൂന്യമായ ഫലം ആശ്വാസകരമാണ്, നിർണായകമല്ല, കാരണം ഓപ്ഷനുകൾ പരസ്പരം സ്വാധീനിക്കാം അല്ലെങ്കിൽ ഉൾപ്പെടുത്തിയ ഫയലിൽ നിന്ന് വരാം. അരിച്ചെടുത്ത പട്ടികയെ തുടർന്ന് വായിക്കാനുള്ള കാരണമായി കാണുക, വിധിയായി അല്ല.

പ്രൊഫൈലിനൊപ്പം വരുന്ന നിർദ്ദേശങ്ങളും പ്രൊഫൈലിന് തുല്യമായ പരിശോധന അർഹിക്കുന്നു. നാല് അഭ്യർത്ഥനകൾ നിങ്ങളെ തടയണം: സ്ക്രിപ്റ്റുകൾ പ്രവർത്തനക്ഷമമാക്കുക, ഒരു സഹായി അല്ലെങ്കിൽ ലൈബ്രറി ഇൻസ്റ്റാൾ ചെയ്യുക, ക്ലയന്റ് അഡ്മിനിസ്ട്രേറ്ററായി പ്രവർത്തിപ്പിക്കുക, അല്ലെങ്കിൽ ഇറക്കുമതി നിയന്ത്രണം ദുർബലമാക്കുക. ഓരോന്നും വിശ്വാസ അതിർത്തി പുറത്തേക്ക് നീക്കുന്നു, അവയൊന്നും സെർവർ പട്ടിക ഇറക്കുമതിയുടെ സാധാരണ ഭാഗമല്ല.

മുഴുവൻ ഫയലും ഒരിക്കൽ വായിക്കുകയും ചെയ്യുക, കാരണം ഒരു അപരിചിത വരി സന്ദർഭത്തിൽ വിലയിരുത്തുന്നത് അരിച്ചെടുത്ത പട്ടികയിലേക്കാൾ എളുപ്പമാണ്. വരി അപരിചിതമെങ്കിൽ, ഊഹിക്കുന്നതിന് പകരം നിങ്ങളുടെ ക്ലയന്റിന്റെ മാന്വലിൽ അത് തിരയുക.

ക്ലയന്റ് യഥാർത്ഥത്തിൽ എന്ത് പ്രവർത്തിപ്പിക്കും

Community OpenVPN-ന്റെ 2.6 മാന്വൽ script-security ഘട്ടങ്ങൾ രേഖപ്പെടുത്തുന്നു: ലെവൽ 1 സ്വതവേയുള്ളതാണ്, ഉപയോക്താവ് നിർവചിച്ച സ്ക്രിപ്റ്റുകൾ തടയുന്നു, ലെവൽ 2 അവ അനുവദിക്കുന്നു. പ്ലഗിന്നുകൾ ലോഡ് ചെയ്യുന്നത് സ്വന്തം നിർദ്ദേശമുള്ള വേറിട്ട സംവിധാനമാണ്. അതുകൊണ്ടാണ് ഒരേ ഫയൽ വ്യത്യസ്ത ക്ലയന്റുകളിൽ വ്യത്യസ്ത കാര്യങ്ങൾ അർത്ഥമാക്കുന്നത്. മൊബൈൽ, നിർമ്മാതാവ് ക്ലയന്റുകൾ ഇടുങ്ങിയ നിർദ്ദേശ കൂട്ടം സ്വീകരിച്ചേക്കാം, അല്ലെങ്കിൽ ഹുക്കുകളിൽ ഒന്നും അല്ല.

പ്രവർത്തനക്ഷമമാക്കുന്ന രീതി ക്ലയന്റിന് തുല്യം പ്രധാനമാണ്. പ്രത്യേകാവകാശമുള്ള സഹായി ആരംഭിക്കുന്ന പ്രൊഫൈൽ ഉപയോക്തൃ ഇടത്ത് ആരംഭിക്കുന്നതിനേക്കാൾ കൂടുതൽ ചെയ്യാം, ആ വ്യത്യാസമാണ് ഇറക്കുമതി സൂചന അവഗണിക്കുന്നതിന് പകരം വായിക്കാനുള്ള കാരണം.

പതിപ്പും പ്രധാനമാണ്, കാരണം ഈ ലെവലുകൾ ഓരോ റിലീസിനും നിർവചിക്കപ്പെടുന്നു, പല പതിപ്പുകൾ പിന്നിലുള്ള ക്ലയന്റ് അതേ നയം നടപ്പാക്കിയെന്ന് വരില്ല. നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്ന ബിൽഡിന് യോജിക്കുന്ന മാന്വൽ വായിക്കുക, കിട്ടുന്ന ഏറ്റവും പുതിയതല്ല. ക്ലയന്റ് എവിടെയും പതിപ്പ് സ്ട്രിംഗ് കാണിച്ചില്ലെങ്കിൽ, അത് തന്നെ മന്ദഗതിയിലാകാനുള്ള കാരണമാണ്.

ഓപ്പറേറ്ററെ താരതമ്യം ചെയ്യുക, വിലാസം മാത്രമല്ല

മറ്റേതെങ്കിലും ഇടനിലക്കാരനെ താരതമ്യം ചെയ്യുന്നതുപോലെ ഓപ്പറേറ്റർമാരെ താരതമ്യം ചെയ്യുക. എക്സിറ്റ് ആര് നടത്തുന്നു, എന്ത് ലോഗ് ചെയ്യുന്നു, പ്രൊഫൈൽ നിങ്ങളിലേക്ക് എങ്ങനെ എത്തി എന്ന് ചോദിക്കുക. സ്ഥിരീകരിച്ച ഡൗൺലോഡ് പേജും യോജിക്കുന്ന ഫിംഗർപ്രിന്റും പരിചിതമായ ഹോസ്റ്റ്നാമിനേക്കാൾ കൂടുതൽ പറയുന്നു. എത്താവുന്ന സെർവർ എന്തോ ഉത്തരം നൽകി എന്ന് മാത്രം തെളിയിക്കുന്നു.

ക്രെഡൻഷ്യലുകളാണ് സമ്മർദ്ദത്തിൽ ആളുകൾ തെറ്റിക്കുന്ന ഭാഗം. സെർവറിന്റെ പേര് പരിചിതമായി തോന്നുന്നതുകൊണ്ട് ഡൗൺലോഡ് ചെയ്ത പ്രൊഫൈലിൽ ബന്ധമില്ലാത്ത അക്കൗണ്ടിന്റെ പാസ്വേഡ് ടൈപ്പ് ചെയ്യരുത്. പ്രൊഫൈൽ തുറന്ന രീതിയിൽ സ്വകാര്യ കീയും വഹിച്ചേക്കാം, അതിനാൽ മുഴുവൻ ഫയലും ഒരു അവലോകന ത്രെഡിൽ പോസ്റ്റ് ചെയ്യുന്നത് ആ കീ ത്രെഡിന് നൽകുന്നു.

ശരിയായി സാധുതയുള്ള HTTPS സെഷൻ പാക്കറ്റുകൾ കൈമാറ്റം ചെയ്യുന്നവരിൽ നിന്ന് പേജ് ഉള്ളടക്കം ഇപ്പോഴും മറയ്ക്കുന്നു, അതിനാൽ എക്സിറ്റ് എല്ലാ പാസ്വേഡുകളും സ്വയമേവ കാണുന്നില്ല. എന്നാൽ ഏത് സൈറ്റുകളിൽ എത്തുന്നു എന്ന് കാണുന്നു, ആ അതിർത്തി അതിശയോക്തിയല്ലാതെ കൃത്യമായി പറയേണ്ടതാണ്.

ഫയലിന്റെ ഉത്ഭവം അവ്യക്തമായി തുടരുകയാണെങ്കിൽ, അല്ലെങ്കിൽ അത് ആവശ്യപ്പെടുന്ന പ്രത്യേകാവകാശത്തിന് നിങ്ങൾക്ക് സ്വീകരിക്കാവുന്ന വിശദീകരണമില്ലെങ്കിൽ, ഉത്തരവാദിത്തം ആവശ്യപ്പെടാവുന്ന ഒരു സ്രോതസ്സിൽ നിന്നുള്ള പ്രൊഫൈൽ കൊണ്ട് അത് മാറ്റുക. കൈകാര്യം ചെയ്യുന്ന ജോലി കണക്ഷനിൽ, അഡ്മിനിസ്ട്രേറ്റർ ക്ലയന്റും കോൺഫിഗറേഷനും രണ്ടല്ല, ഒരു തീരുമാനമായി അംഗീകരിക്കണം. ഇവിടെ ഒന്നും ആദ്യം ദുർഭാവന തെളിയിക്കാൻ ആവശ്യപ്പെടുന്നില്ല; പ്രവേശനം നിഷേധിക്കുന്നത് സാധുവായ മറുപടിയാണ്.