अपरिचित OVPN फाइली: स्थानिक जोखीम आणि दूरचा विश्वास

OVPN फाइलला प्रोग्रामचे इनपुट माना, तिची सामग्री निरुपद्रवी आहे असा दाखला नाही। सर्व्हरचा पत्ता तपासणे केवळ प्रोफाइल कुठे जोडू इच्छिते याचे उत्तर देते, दुसरे काही नाही। त्या फाइलमध्ये विश्वासाचे दोन वेगळे निर्णय आहेत: क्लायंट तुमच्या मशीनवर काय करू शकतो, आणि कोणता ऑपरेटर रहदारी घेतो। परिचित प्रोटोकॉल नाव दोन्हीपैकी कोणतेही ठरवत नाही।

एका फाइलमध्ये दोन निर्णय लपलेले आहेत

पहिला निर्णय स्थानिक आहे। प्रोफाइल एक कॉन्फिगरेशन भाषा आहे, आणि ती वाचणारा क्लायंट प्लगइन लोड करणारे, स्क्रिप्ट चालवणारे किंवा राउटिंग व DNS कसे लागू होतात हे बदलणारे निर्देश समर्थित करू शकतो। दुसरा निर्णय दूरचा आहे। फाइलमध्ये काहीही असले तरी बाहेर जाणाऱ्या ऑपरेटरला तिथपर्यंत पोहोचणारी रहदारी दिसते।

दोन्हींचा गोंधळ दोन्ही दिशांनी वाईट सल्ला देतो: अपरिचित ऑपरेटरकडून स्वच्छ दिसणारे प्रोफाइल, किंवा कोणीही न वाचलेल्या हुकसह प्रसिद्ध ऑपरेटरचे प्रोफाइल। स्थानिकदृष्ट्या सुरक्षित प्रोफाइलही तुम्ही न निवडणाऱ्या व्यक्तीला तुमची रहदारी देऊ शकते।

कोणत्याही क्लायंटपूर्वी प्रोफाइल वाचा

कोणताही क्लायंट प्रक्रिया करण्यापूर्वी फाइल मजकूर म्हणून वाचा। फाइलबाहेर निर्देश करणारे, एक्झिक्युटेबलचा संदर्भ देणारे किंवा विशेषाधिकार बदलणारे निर्देश शोधा, आणि ती यादी क्लायंटच्या दस्तऐवजीकृत समर्थनाशी तुलना करा। छोटी शोध सुरक्षा पुनरावलोकन नाही, पण प्रोफाइल सर्व्हरची यादी आहे की त्यापेक्षा अधिक काही हे ती सांगते।

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

रिकामा निकाल दिलासा देतो आणि निर्णायक नाही, कारण पर्याय एकमेकांवर परिणाम करू शकतात किंवा समाविष्ट फाइलमधून येऊ शकतात। गाळलेल्या यादीकडे पुढे वाचण्याचे कारण म्हणून पाहा, निकाल म्हणून नाही।

प्रोफाइलसोबत येणाऱ्या सूचनाही प्रोफाइलइतक्याच तपासणीस पात्र आहेत। चार विनंत्या तुम्हाला थांबवायला हव्यात: स्क्रिप्ट सक्षम करा, मदतनीस किंवा लायब्ररी स्थापित करा, क्लायंट प्रशासक म्हणून चालवा, किंवा आयात निर्बंध कमकुवत करा। यातील प्रत्येक विश्वासाची सीमा बाहेर सरकवते, आणि यातील कोणतीही सर्व्हर यादी आयात करण्याचा सामान्य भाग नाही।

संपूर्ण फाइलही एकदा वाचा, कारण एक अपरिचित ओळ संदर्भात तपासणे गाळलेल्या यादीपेक्षा सोपे आहे। ओळ अपरिचित असेल, तर अंदाज करण्याऐवजी तुमच्या क्लायंटच्या मॅन्युअलमध्ये ती शोधा।

क्लायंट प्रत्यक्षात काय चालवेल

Community OpenVPN चे 2.6 मॅन्युअल script-security चे टप्पे दस्तऐवजीकृत करते: स्तर 1 डीफॉल्ट आहे आणि वापरकर्त्याने परिभाषित केलेल्या स्क्रिप्टना अडवतो, तर स्तर 2 त्यांना परवानगी देतो। प्लगइन लोड करणे ही स्वतःच्या निर्देशासह वेगळी सुविधा आहे। म्हणूनच एकच फाइल वेगवेगळ्या क्लायंटमध्ये वेगळा अर्थ देऊ शकते। मोबाइल आणि उत्पादक क्लायंट अरुंद निर्देशसंच स्वीकारू शकतात, किंवा हुकपैकी एकही नाही।

सुरू करण्याची पद्धत क्लायंटइतकीच महत्त्वाची आहे। विशेषाधिकारप्राप्त मदतनीसाने सुरू केलेले प्रोफाइल वापरकर्ता जागेत सुरू केलेल्यापेक्षा अधिक करू शकते, आणि हाच फरक आयात सूचना दुर्लक्षित करण्याऐवजी वाचण्याचे कारण आहे।

आवृत्तीही महत्त्वाची आहे, कारण हे स्तर प्रत्येक प्रकाशनासाठी परिभाषित केले जातात आणि अनेक आवृत्त्या मागे असलेला क्लायंट तीच धोरणे राबवेलच असे नाही। तुम्ही चालवत असलेल्या बिल्डशी जुळणारे मॅन्युअल वाचा, सापडणारे सर्वात नवे नाही। क्लायंट कुठेही आवृत्तीची मालिका दाखवत नसेल, तर तेच संथ होण्याचे कारण आहे।

ऑपरेटरची तुलना करा, केवळ पत्त्याची नाही

ऑपरेटरची तुलना इतर कोणत्याही मध्यस्थाची करावी तशी करा। बाहेर पडणे कोण चालवते, काय नोंदवतात, आणि प्रोफाइल तुमच्यापर्यंत कशी पोहोचली हे विचारा। सत्यापित डाउनलोड पृष्ठ आणि जुळणारी बोटांची छाप परिचित होस्टनावापेक्षा अधिक सांगतात। पोहोचण्यायोग्य सर्व्हर केवळ काहीतरी उत्तर दिले हे सिद्ध करतो।

ओळखपत्रे हा भाग आहे जिथे लोक दडपणाखाली चुका करतात। सर्व्हरचे नाव परिचित वाटते म्हणून डाउनलोड केलेल्या प्रोफाइलमध्ये असंबंधित खात्याचा पासवर्ड टाइप करू नका। प्रोफाइल उघडपणे खाजगी कीही घेऊन येऊ शकते, त्यामुळे संपूर्ण फाइल पुनरावलोकन थ्रेडमध्ये पोस्ट करणे ती की थ्रेडला देते।

योग्यरित्या सत्यापित HTTPS सत्र केवळ पॅकेट पुढे पाठवणाऱ्या कोणापासूनही पृष्ठाची सामग्री लपवते, त्यामुळे बाहेर पडणारा प्रत्येक पासवर्ड स्वयंचलितपणे पाहत नाही। पण तुम्ही कोणत्या साइटपर्यंत पोहोचता हे पाहते, आणि ही सीमा अतिशयोक्तीऐवजी अचूकपणे सांगण्यासारखी आहे।

जिथे फाइलचा उगम अस्पष्ट राहतो, किंवा ती मागणारे विशेषाधिकार तुम्ही स्वीकारू शकाल असे स्पष्टीकरण देत नाही, तिथे जबाबदारी विचारता येईल अशा स्रोतातून आलेल्या प्रोफाइलने ती बदला। व्यवस्थापित कार्य कनेक्शनवर प्रशासकाने क्लायंट आणि कॉन्फिगरेशन दोन नाही, एक निर्णय म्हणून मंजूर करावे। येथे काहीही आधी दुर्भावना सिद्ध करायला सांगत नाही; प्रवेश नाकारणे हे वैध उत्तर आहे।