Найдваргүй VPN бол нэг биш, гурван тусдаа хил юм

«Би энэ VPN-д итгэхгүй байна» гэдэг нь ихэвчлэн нэг өгүүлбэрт өмсөгдсөн гурван мэдэгдэл юм. Тэр сүлжээн дэх алсын үе тэнгийнүүд таны хост дээрх үйлчилгээнд хүрч болно, туннелийг удирдаж буй оператор түүгээр дамжин өнгөрөх урсгалыг харж болно, таны суулгасан клиент програм хангамж таны машины сүлжээний бодлогыг өөрчилж болно. Засах ёстой итгэл бол галт хананы дүрэм, виртуал машин эсвэл үйлдлийн системийг болгоомжтой сонгох нь бүгдэд нь хариулдаг гэдэг юм. Арга хэмжээ бүр тэдгээрийн яг нэгэнд хариулна.

Домог: нэг хяналт бүх эрсдэлийг хамардаг

Нийтлэг таамаглал бол найдваргүй сүлжээнд нэгдэх нь нэг шийдвэр, нэг зөөлрүүлэлт юм. Хүмүүс аль хэдийн итгэдэг хяналтаа сонгож, хэрэглээд эрсдэлийг шийдэгдсэн гэж үздэг: галт хана ассан, ажлын талбар нэг удаагийн, клиент нэр хүндтэй нийлүүлэгчээс ирсэн.

Эдгээр хяналтууд таамаглал заасан шиг давхцдаггүй. Хост дээрх галт хана нь алсын үе тэнгийн хүн хаа хүрч болохыг хязгаарладаг бөгөөд таны TLS-ийг дуусгадаг операторын эсрэг юу ч хийдэггүй. Виртуал машин ажлын талбарыг таны хост файлуудаас тусгаарладаг бөгөөд хоёрын доорх сүлжээний стекийг дахин тохируулах зөвшөөрөлтэй клиент бүрэлдэхүүний эсрэг юу ч хийдэггүй. Хяналт бүрийн бодитоор үүсгэдэг хилийг нэрлэх нь бүх дасгал юм.

Тэдгээрийг тусгаарлах нь ямар эрсдэлийг хүлээж авахаар сонгосноо хэлнэ. Ихэнх бодит шийдвэр нэг хилийг зөөлрүүлж, нөгөөг нь тэвчих бөгөөд өөрчлөлтийн бүртгэл аль нь аль болохыг хэлж байвал энэ нь зүгээр.

Алсын үе тэнгийн хүн бодитоор хаа хүрч чадах вэ

Сонсож буй үйлчилгээнээс эхэл. Пакетууд нь шифрлэгдсэн ирсэн учраас өргөнөөр итгэмжлэгдсэн гэж үздэг туннелийн интерфейс бол ердийн алдаа бөгөөд тэр сүлжээн дэх бусад хүн бүрт орон нутгийн сонсогч бүрийг боломжит зорилт болгоно. Шифрлэлт нь хоёр төгсгөлийн хоорондох утсыг хамгаалдаг; энэ нь нөгөө талын үе тэнгийн хүний санаа бодлын талаар юу ч хэлэхгүй.

ss -tulpn
sudo nft list ruleset
ip -br addr

Үйлчилгээг бусад бүх интерфейсэд биш, шаардлагатай хаягтай нь холбо, зөвхөн батлагдсан ажил шаарддаг үйлдлүүдийг зөвшөөр. Дамжуулалт, гүүр, програмын проксийг тодорхой байлга, учир нь хоёр сүлжээний холболт өөрөө дамжин өнгөрөх зам үүсгэхгүй, харин прокси дүрэм гарцаагүй үүсгэж чадна.

Батлагдсан нэг удаагийн ажлын талбар алсын сүлжээ хаа хүрч болохыг багасгадаг боловч түүний хуваалцах тохиргоо мэдэгдэлтэй нийцсэн үед л. Хуваалцсан хавтас, самбар интеграц, итгэмжлэлийн агентууд, удирдлагын сувгууд бүгд ажлын талбар үүсгэх ёстой байсан хилээр дамждаг. Ажлын талбарын шошго нь тэдгээрийн аль нь нээлттэй вэ гэдгийг юу ч нотолдоггүй.

NIST-ийн тэг итгэлцлийн архитектур энэ бүхний ард байгаа зарчмыг хэлдэг: зөвхөн сүлжээний байршил далд итгэл олгодоггүй. Туннель зөвшөөрөгдсөний дараа ч нөөцийн баталгаажуулалт ажилтай хэвээр, мөн тэр сүлжээг өөр хэн хуваалцаж байна гэдэг асуулт ч.

Зам дээрх оператор юу харж чадах вэ

VPN таны урсгалыг замын өөр газар руу зөөдөг; энэ нь програмын шифрлэлт нэмдэггүй. Хэрэв нийлүүлэгч таны TLS-ийг дуусгавал таны хөтөч өөрөөр хамгаалах байсан зүйлийг нийлүүлэгч уншиж чадна, ямар ч орон нутгийн галт хананы дүрэм үүнийг өөрчлөхгүй.

Бодит очих газарт ердийн гэрчилгээний баталгаажуулалтыг хадгал, шийдвэрлэгч болон мета өгөгдлийн замыг ойлго, учир нь DNS асуулга өмнө нь явж буй ачааллаас илүүг илчилж болно. Зөвхөн мета өгөгдөл, өөрөөр хэлбэл аль хаяг руу хэзээ хандсанаа, агуулгыг унших ямар ч хэрэггүйгээр операторын асуултад хариулдаг. Тиймээс «урсгал шифрлэгдсэн» ба «урсгал хувийн» нь өөр өөр мэдэгдэл юм.

Хэрэв тэр харагдах байдал ажилд хүлээн зөвшөөрөхгүй бол хариулт нь илүү орон нутгийн шүүлт биш, өөр батлагдсан архитектур юм. Орон нутгийн шүүлт ажиглагчийг одоо ч сууж буй замаас зайлуулж чадахгүй.

Орон нутгийн клиент юуг өөрчилж чадах вэ

Энэ бол хүмүүсийн алддаг хил бөгөөд нөгөө хоёрыг утгагүй болгодог хил юм. Linux дээр CAP_NET_ADMIN нь өөрийн сүлжээний орчинд интерфейсийн тохиргоо, галт хананы удирдлага, маршрутын өөрчлөлтийг хамардаг. Энэ чадвартай програм хангамж саяхан бичсэн бодлогыг дахин бичиж чадна.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Сүлжээний нэрийн орон зай нь сүлжээний төлөвт бодит хил, бусад бүхэнд муу хил юм: энэ нь файлын систем эсвэл итгэмжлэлийн санг тусгаарладаггүй. Үүнийг бүх асуудлын контейнер биш, нэг давхарга гэж үз.

Клиент болон түүний тохиргоог арчилгаатай эх сурвалжаас ав, түүний шаардаж буй эрх мэдлийг хяна, онцгой эрхтэй бүрэлдэхүүнүүдийг администраторын хяналтад байлга. Виртуал машин нь үнэтэй итгэмжлэлийн дэргэд тайлбаргүй суулгагчийг ажиллуулах зөвшөөрөл болохгүйгээр чадварлаг үнэлгээний хилийн хэсэг байж болно. Суулгагч нь таны түүнд олгосон ямар ч эрх мэдлээр ажилладаг бөгөөд тэр эрх мэдэл нь хил юм.

Ямар хил хүлээж авснаа бич

Дөрвөн зүйлийг нэрлэсэн өгүүлбэрээр дуусга: итгэмжлэгдсэн орон нутгийн код, зөвшөөрөгдсөн алсын хандалт, хамгаалагдсан програмын өгөгдөл, үлдэх операторын харилцаа. Тэр өгүүлбэр нь VM, үйлдлийн систем эсвэл вирусын эсрэг бүтээгдэхүүн дайсагнасан сүлжээг аюулгүй болгосон гэсэн ерөнхий мэдэгдлээс илүү үнэ цэнэтэй.

Дараа нь нарийн үйлдэл ажиллаж, шаардсан татгалзал хүчинтэй хэвээр байгааг батал, туннель унасаны дараа ч. Туннель босоо байх үед л оршиж буй хил нь таны баримтжуулсан хил биш.

Ямар ч туршилт бүх эмзэг байдлыг байхгүй гэдгийг нотлохгүй, эсрэгээр нь мэдэгдэх хяналт хэтрүүлэг юм. Шударга үр дүн үлдсэн эрсдэл болон түүнийг хүлээн авсан хүнийг нэрлэнэ.