വിശ്വാസയോഗ്യമല്ലാത്ത VPN മൂന്ന് വെവ്വേറെ അതിർത്തികളാണ്, ഒന്നല്ല

«ഈ VPN ഞാൻ വിശ്വസിക്കുന്നില്ല» എന്നത് സാധാരണയായി ഒരു വാക്യത്തിൽ ധരിച്ച മൂന്ന് പ്രസ്താവനകളാണ്. ആ നെറ്റ്‌വർക്കിലെ വിദൂര പങ്കാളികൾ നിങ്ങളുടെ ഹോസ്റ്റിലെ സേവനങ്ങളിൽ എത്തിയേക്കാം, ടണൽ നടത്തുന്ന ഓപ്പറേറ്റർ അതിലൂടെ കടന്നുപോകുന്ന ട്രാഫിക് കാണാം, നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്ത ക്ലയന്റ് സോഫ്‌റ്റ്‌വെയർ നിങ്ങളുടെ മെഷീന്റെ നെറ്റ്‌വർക്ക് നയം മാറ്റിയേക്കാം. തിരുത്തേണ്ട വിശ്വാസം എന്നത് ഒരു ഫയർവാൾ നിയമം, ഒരു വെർച്വൽ മെഷീൻ അല്ലെങ്കിൽ സൂക്ഷ്മമായ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം തിരഞ്ഞെടുപ്പ് മൂന്നിനും ഉത്തരം നൽകുന്നു എന്നതാണ്. ഓരോ നടപടിയും അവയിൽ കൃത്യമായി ഒന്നിന് ഉത്തരം നൽകുന്നു.

കെട്ടുകഥ: ഒരു നിയന്ത്രണം മുഴുവൻ അപകടസാധ്യതയും മൂടുന്നു

സാധാരണ ധാരണ എന്നത് വിശ്വാസയോഗ്യമല്ലാത്ത നെറ്റ്‌വർക്കിൽ ചേരുന്നത് ഒരു തീരുമാനവും ഒരു ലഘൂകരണവുമാണ് എന്നതാണ്. ആളുകൾ ഇതിനകം വിശ്വസിക്കുന്ന നിയന്ത്രണം തിരഞ്ഞെടുത്ത് പ്രയോഗിച്ച് അപകടസാധ്യത തീർന്നതായി കണക്കാക്കുന്നു: ഫയർവാൾ ഓണാണ്, പ്രവർത്തന ഇടം വലിച്ചെറിയാവുന്നതാണ്, ക്ലയന്റ് മാന്യമായ വിതരണക്കാരനിൽ നിന്നാണ്.

ഈ നിയന്ത്രണങ്ങൾ ധാരണ സൂചിപ്പിക്കുന്ന രീതിയിൽ ഒന്നിനുമേൽ ഒന്ന് വരുന്നില്ല. ഹോസ്റ്റ് ഫയർവാൾ വിദൂര പങ്കാളിക്ക് എത്താവുന്നത് പരിമിതപ്പെടുത്തുന്നു, നിങ്ങളുടെ TLS അവസാനിപ്പിക്കുന്ന ഓപ്പറേറ്ററിനെതിരെ ഒന്നും ചെയ്യുന്നില്ല. വെർച്വൽ മെഷീൻ പ്രവർത്തന ഇടത്തെ നിങ്ങളുടെ ഹോസ്റ്റ് ഫയലുകളിൽ നിന്ന് വേർതിരിക്കുന്നു, രണ്ടിനും താഴെയുള്ള നെറ്റ്‌വർക്ക് സ്റ്റാക്ക് പുനഃക്രമീകരിക്കാൻ അനുവാദമുള്ള ക്ലയന്റ് ഘടകത്തിനെതിരെ ഒന്നും ചെയ്യുന്നില്ല. ഓരോ നിയന്ത്രണവും യഥാർത്ഥത്തിൽ സൃഷ്ടിക്കുന്ന അതിർത്തിക്ക് പേര് നൽകുന്നതാണ് മുഴുവൻ അഭ്യാസം.

അവയെ വേർതിരിക്കുന്നത് ഏത് അപകടസാധ്യത സ്വീകരിക്കാൻ തിരഞ്ഞെടുത്തു എന്നും പറയുന്നു. മിക്ക യഥാർത്ഥ തീരുമാനങ്ങളും ഒരു അതിർത്തി ലഘൂകരിച്ച് മറ്റൊന്ന് സഹിക്കുന്നു, മാറ്റത്തിന്റെ രേഖ ഏതാണ് ഏതെന്ന് പറയുന്നിടത്തോളം അത് ശരിയാണ്.

വിദൂര പങ്കാളിക്ക് യഥാർത്ഥത്തിൽ എത്താവുന്നത്

ശ്രവിക്കുന്ന സേവനങ്ങളിൽ നിന്ന് തുടങ്ങുക. പാക്കറ്റുകൾ എൻക്രിപ്റ്റ് ചെയ്ത് എത്തിയതിനാൽ വ്യാപകമായി വിശ്വസനീയമായി കണക്കാക്കുന്ന ടണൽ ഇന്റർഫേസാണ് സാധാരണ തെറ്റ്, അത് ആ നെറ്റ്‌വർക്കിലെ മറ്റാർക്കും ഓരോ പ്രാദേശിക ശ്രോതാവിനെയും സാധ്യതയുള്ള ലക്ഷ്യമാക്കുന്നു. എൻക്രിപ്ഷൻ രണ്ട് അറ്റങ്ങൾക്കിടയിലെ കമ്പി സംരക്ഷിക്കുന്നു; അത് മറുവശത്തുള്ള പങ്കാളിയുടെ ഉദ്ദേശ്യത്തെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

ss -tulpn
sudo nft list ruleset
ip -br addr

സേവനങ്ങളെ എല്ലാ ഇന്റർഫേസുകൾക്കും പകരം അവയ്ക്ക് ആവശ്യമുള്ള വിലാസത്തിലേക്ക് ബന്ധിപ്പിക്കുക, അംഗീകൃത ജോലി ആവശ്യപ്പെടുന്ന പ്രവർത്തനങ്ങൾ മാത്രം അനുവദിക്കുക. ഫോർവേഡിംഗ്, ബ്രിഡ്ജിംഗ്, ആപ്ലിക്കേഷൻ പ്രോക്സി എന്നിവ വ്യക്തമായി നിലനിർത്തുക, കാരണം രണ്ട് നെറ്റ്‌വർക്ക് ബന്ധങ്ങൾ സ്വയം ഒരു ട്രാൻസിറ്റ് പാത സൃഷ്ടിക്കുന്നില്ല, പക്ഷേ പ്രോക്സി നിയമത്തിന് തീർച്ചയായും സാധിക്കും.

അംഗീകൃത വലിച്ചെറിയാവുന്ന പ്രവർത്തന ഇടം വിദൂര നെറ്റ്‌വർക്കിന് എത്താവുന്നത് കുറയ്ക്കുന്നു, പക്ഷേ അതിന്റെ പങ്കിടൽ ക്രമീകരണം വാദവുമായി യോജിക്കുമ്പോൾ മാത്രം. പങ്കിട്ട ഫോൾഡറുകൾ, ക്ലിപ്പ്ബോർഡ് സംയോജനം, ക്രെഡൻഷ്യൽ ഏജന്റുകൾ, മാനേജ്മെന്റ് ചാനലുകൾ എന്നിവയെല്ലാം പ്രവർത്തന ഇടം സൃഷ്ടിക്കേണ്ടിയിരുന്ന അതിർത്തി കടക്കുന്നു. പ്രവർത്തന ഇടത്തിന്റെ ലേബൽ അവയിൽ ഏതാണ് തുറന്നിരിക്കുന്നത് എന്ന് ഒന്നും തെളിയിക്കുന്നില്ല.

NIST-ന്റെ പൂജ്യം-വിശ്വാസ വാസ്തുവിദ്യ ഇതിനെല്ലാം പിന്നിലുള്ള തത്വം പറയുന്നു: നെറ്റ്‌വർക്ക് സ്ഥാനം മാത്രം പരോക്ഷ വിശ്വാസം നൽകുന്നില്ല. ടണൽ അനുവദിച്ചതിന് ശേഷവും റിസോഴ്സ് പ്രാമാണീകരണത്തിന് ജോലിയുണ്ട്, ആ നെറ്റ്‌വർക്ക് മറ്റാരൊക്കെ പങ്കിടുന്നു എന്ന ചോദ്യത്തിനും.

പാതയിലെ ഓപ്പറേറ്റർ കാണാൻ കഴിയുന്നത്

VPN നിങ്ങളുടെ ട്രാഫിക് പാതയിലെ മറ്റൊരിടത്തേക്ക് നീക്കുന്നു; അത് ആപ്ലിക്കേഷൻ എൻക്രിപ്ഷൻ കൂട്ടിച്ചേർക്കുന്നില്ല. ദാതാവ് നിങ്ങളുടെ TLS അവസാനിപ്പിച്ചാൽ, നിങ്ങളുടെ ബ്രൗസർ അല്ലെങ്കിൽ സംരക്ഷിച്ചിരുന്നത് ദാതാവിന് വായിക്കാം, ഒരു പ്രാദേശിക ഫയർവാൾ നിയമവും അത് മാറ്റുന്നില്ല.

യഥാർത്ഥ ലക്ഷ്യസ്ഥാനത്തിന് സാധാരണ സർട്ടിഫിക്കറ്റ് സാധൂകരണം നിലനിർത്തുക, റിസോൾവർ, മെറ്റാഡാറ്റ പാത എന്നിവ മനസ്സിലാക്കുക, കാരണം DNS അന്വേഷണം അതിന് മുമ്പുള്ള പേലോഡിനെക്കാൾ കൂടുതൽ വെളിപ്പെടുത്തിയേക്കാം. മെറ്റാഡാറ്റ മാത്രം, അതായത് ഏത് വിലാസങ്ങളുമായി എപ്പോൾ ബന്ധപ്പെട്ടു, ഉള്ളടക്കം വായിക്കേണ്ട ആവശ്യമില്ലാതെ തന്നെ ഓപ്പറേറ്ററുടെ ചോദ്യത്തിന് ഉത്തരം നൽകാറുണ്ട്. അതുകൊണ്ടാണ് «ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്തതാണ്», «ട്രാഫിക് സ്വകാര്യമാണ്» എന്നിവ വ്യത്യസ്ത പ്രസ്താവനകളാണ്.

ആ ദൃശ്യത ജോലിക്ക് സ്വീകാര്യമല്ലെങ്കിൽ, ഉത്തരം കൂടുതൽ പ്രാദേശിക ഫിൽട്ടറിംഗല്ല, മറ്റൊരു അംഗീകൃത വാസ്തുവിദ്യയാണ്. പ്രാദേശിക ഫിൽട്ടറിംഗിന് ഇപ്പോഴും ഇരിക്കുന്ന പാതയിൽ നിന്ന് നിരീക്ഷകനെ ഒഴിവാക്കാനാവില്ല.

പ്രാദേശിക ക്ലയന്റിന് മാറ്റാൻ കഴിയുന്നത്

ഇതാണ് ആളുകൾ വിട്ടുപോകുന്ന അതിർത്തി, ബാക്കിയുള്ള രണ്ടിനെ അർത്ഥശൂന്യമാക്കുന്നതും ഇതാണ്. ലിനക്സിൽ CAP_NET_ADMIN അതിന്റെ നെറ്റ്‌വർക്ക് സന്ദർഭത്തിൽ ഇന്റർഫേസ് ക്രമീകരണം, ഫയർവാൾ ഭരണം, റൂട്ട് മാറ്റങ്ങൾ എന്നിവ ഉൾക്കൊള്ളുന്നു. ആ കഴിവുള്ള സോഫ്‌റ്റ്‌വെയർക്ക് നിങ്ങൾ ഇപ്പോൾ എഴുതിയ നയം വീണ്ടും എഴുതാം.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

നെറ്റ്‌വർക്ക് നാമസ്ഥലം നെറ്റ്‌വർക്ക് അവസ്ഥയ്ക്ക് യഥാർത്ഥ അതിർത്തിയും ബാക്കിയെല്ലാത്തിനും മോശവുമാണ്: അത് ഫയൽസിസ്റ്റത്തെയോ ക്രെഡൻഷ്യൽ സംഭരണിയെയോ വേർതിരിക്കുന്നില്ല. മുഴുവൻ പ്രശ്നത്തിന്റെ കണ്ടെയ്നറായി അല്ല, ഒരു പാളിയായി കാണുക.

ക്ലയന്റും അതിന്റെ ക്രമീകരണവും പരിപാലിക്കപ്പെടുന്ന ഉറവിടത്തിൽ നിന്ന് നേടുക, അത് ആവശ്യപ്പെടുന്ന അധികാരം പരിശോധിക്കുക, പ്രത്യേകാവകാശ ഘടകങ്ങൾ അഡ്മിനിസ്ട്രേറ്ററുടെ നിയന്ത്രണത്തിൽ നിർത്തുക. വിലപ്പെട്ട ക്രെഡൻഷ്യലുകൾക്കരികിൽ വിശദീകരിക്കപ്പെടാത്ത ഇൻസ്റ്റാളർ പ്രവർത്തിപ്പിക്കാനുള്ള അനുമതിയാകാതെ വെർച്വൽ മെഷീന് യോഗ്യമായ മൂല്യനിർണ്ണയ അതിർത്തിയുടെ ഭാഗമാകാം. ഇൻസ്റ്റാളർ നിങ്ങൾ നൽകുന്ന ഏത് അധികാരത്തോടെയും പ്രവർത്തിക്കുന്നു, ആ അധികാരമാണ് അതിർത്തി.

ഏത് അതിർത്തി സ്വീകരിച്ചു എന്ന് എഴുതുക

നാല് കാര്യങ്ങൾ പേരിടുന്ന ഒരു വാക്യത്തോടെ അവസാനിപ്പിക്കുക: വിശ്വസനീയമായ പ്രാദേശിക കോഡ്, അനുവദിച്ച വിദൂര പ്രവേശനം, സംരക്ഷിത ആപ്ലിക്കേഷൻ ഡാറ്റ, ശേഷിക്കുന്ന ഓപ്പറേറ്റർ ബന്ധം. ആ വാക്യം VM, ഓപ്പറേറ്റിംഗ് സിസ്റ്റം അല്ലെങ്കിൽ ആന്റിവൈറസ് ഉൽപ്പന്നം ശത്രുതാപരമായ നെറ്റ്‌വർക്കിനെ സുരക്ഷിതമാക്കി എന്ന പൊതു വാദത്തേക്കാൾ മൂല്യമുള്ളതാണ്.

തുടർന്ന് സങ്കുചിത പ്രവർത്തനം പ്രവർത്തിക്കുന്നു എന്നും ആവശ്യപ്പെട്ട നിരാകരണം ഇപ്പോഴും നിലനിൽക്കുന്നു എന്നും ഉറപ്പാക്കുക, ടണൽ വീണതിന് ശേഷവും. ടണൽ ഉയർന്നിരിക്കുമ്പോൾ മാത്രം നിലനിൽക്കുന്ന അതിർത്തി നിങ്ങൾ രേഖപ്പെടുത്തിയ അതിർത്തിയല്ല.

ഏതൊരു പരീക്ഷണവും എല്ലാ ദുർബലതകളും ഇല്ല എന്ന് തെളിയിക്കുന്നില്ല, വിപരീതം അവകാശപ്പെടുന്ന അവലോകനം അതിശയോക്തിയാണ്. സത്യസന്ധമായ ഫലം ശേഷിക്കുന്ന അപകടസാധ്യതയും അത് സ്വീകരിച്ച വ്യക്തിയും പേരിടുന്നു.