अविश्वासार्ह VPN म्हणजे तीन स्वतंत्र सीमा, एक नाही

«मला या VPN वर विश्वास नाही» हे सहसा एका वाक्यात घातलेली तीन विधाने असतात। त्या नेटवर्कवरील दूरचे सहकारी तुमच्या होस्टवरील सेवांपर्यंत पोहोचू शकतात, टनेल चालवणारा ऑपरेटर त्यातून जाणारा रहदारी पाहू शकतो, आणि तुम्ही स्थापित केलेला क्लायंट सॉफ्टवेअर तुमच्या मशीनचे नेटवर्क धोरण बदलू शकते। सुधारण्यासारखा विश्वास म्हणजे फायरवॉल नियम, व्हर्च्युअल मशीन किंवा काळजीपूर्वक निवडलेली ऑपरेटिंग सिस्टम तिन्हींना उत्तर देते। प्रत्येक उपाय त्यांपैकी नेमके एकाला उत्तर देतो।

समजूत: एक नियंत्रण संपूर्ण धोका झाकते

सामान्य गृहीतक म्हणजे अविश्वासार्ह नेटवर्कमध्ये सामील होणे हा एकच निर्णय आणि एकच कमी करणे होय। लोक आधीच विश्वास असलेले नियंत्रण निवडतात, ते लागू करतात आणि धोका संपला असे मानतात: फायरवॉल सुरू आहे, कार्यक्षेत्र फेकून देण्यासारखे आहे, क्लायंट प्रतिष्ठित पुरवठादाराकडून आला आहे।

ही नियंत्रणे गृहीतक सुचवते तशी एकमेकांवर आच्छादित होत नाहीत। होस्ट फायरवॉल दूरचा सहकारी कुठपर्यंत पोहोचू शकतो हे मर्यादित करते, आणि तुमचे TLS संपवणाऱ्या ऑपरेटरविरुद्ध ते काहीही करत नाही। व्हर्च्युअल मशीन कार्यक्षेत्राला तुमच्या होस्टच्या फाइल्सपासून वेगळे करते, आणि दोहोंच्या खालील नेटवर्क स्टॅक पुन्हा संरचित करण्यास परवानगी असलेल्या क्लायंट घटकाविरुद्ध ते काहीही करत नाही। प्रत्येक नियंत्रण प्रत्यक्षात जी सीमा तयार करते तिला नाव देणे हाच संपूर्ण सराव आहे।

त्यांना वेगळे करणे तुम्ही कोणता धोका स्वीकारायचे ठरवले हेही सांगते। बहुतेक वास्तविक निर्णय एका सीमेवर उपचार करतात आणि दुसरी सहन करतात, जे बदलाच्या नोंदीत कोणती कोणती आहे हे लिहिले असेल तोपर्यंत ठीक आहे।

दूरचा सहकारी प्रत्यक्षात कुठपर्यंत पोहोचू शकतो

ऐकणाऱ्या सेवांपासून सुरुवात करा। पॅकेट एन्क्रिप्ट होऊन आले म्हणून ज्या टनेल इंटरफेसला व्यापकपणे विश्वासार्ह मानले जाते तीच सामान्य चूक, आणि ती त्या नेटवर्कवरील इतर प्रत्येकासाठी प्रत्येक स्थानिक श्रोत्याला संभाव्य लक्ष्य बनवते। एन्क्रिप्शन दोन टोकांमधील तारेचे रक्षण करते; ते पलीकडच्या सहकाऱ्याच्या हेतूबद्दल काहीही सांगत नाही।

ss -tulpn
sudo nft list ruleset
ip -br addr

सेवा प्रत्येक इंटरफेसऐवजी त्यांना आवश्यक असलेल्या पत्त्याशी बांधा, आणि मंजूर कार्य मागणाऱ्या क्रियाच द्या। फॉरवर्डिंग, ब्रिजिंग आणि अनुप्रयोग प्रॉक्सी स्पष्ट ठेवा, कारण दोन नेटवर्क जोडण्या स्वतःच मार्ग तयार करत नाहीत, पण प्रॉक्सी नियम नक्कीच करू शकतो।

मंजूर फेकून देण्यासारखे कार्यक्षेत्र दूरचे नेटवर्क कुठपर्यंत पोहोचू शकते ते कमी करते, पण त्याचे सामायिकरण संरचना दाव्याशी जुळली तरच। सामायिक फोल्डर, क्लिपबोर्ड एकात्मता, क्रेडेन्शियल एजंट आणि व्यवस्थापन चॅनेल सर्व ती सीमा ओलांडतात जी कार्यक्षेत्राने तयार करायची होती। कार्यक्षेत्राचे लेबल त्यांपैकी कोणते उघडे आहे हे काहीही सिद्ध करत नाही।

NIST ची शून्य-विश्वास स्थापत्य या सर्वामागील तत्त्व सांगते: फक्त नेटवर्क स्थान अंतर्निहित विश्वास देत नाही। टनेल मंजूर झाल्यावरही संसाधन प्रमाणीकरणाला काम आहे, आणि ते नेटवर्क दुसरे कोण सामायिक करते या प्रश्नालाही।

मार्गातील ऑपरेटर काय पाहू शकतो

VPN तुमची रहदारी मार्गावरच्या दुसऱ्या ठिकाणी हलवते; तो अनुप्रयोग एन्क्रिप्शन घालत नाही। जर पुरवठादार तुमचे TLS संपवत असेल, तर तुमचा ब्राउझर अन्यथा संरक्षित ठेवला असता ते पुरवठादार वाचू शकतो, आणि कोणताही स्थानिक फायरवॉल नियम ते बदलत नाही।

खऱ्या गंतव्यासाठी नेहमीचे प्रमाणपत्र पडताळणी ठेवा आणि रिझॉल्व्हर व मेटाडेटा मार्ग समजून घ्या, कारण DNS प्रश्न त्याच्यापुढे जाणाऱ्या पेलोडपेक्षा अधिक उघड करू शकतो। फक्त मेटाडेटा, म्हणजे तुम्ही कोणत्या पत्त्यांशी केव्हा संपर्क केला, अनेकदा सामग्री न वाचता ऑपरेटरच्या प्रश्नाचे उत्तर देतो। म्हणूनच «रहदारी एन्क्रिप्टेड आहे» आणि «रहदारी खाजगी आहे» वेगळे दावे आहेत।

जर ती दृश्यमानता कामासाठी अस्वीकारार्ह असेल, तर उत्तर अधिक स्थानिक गाळणे नाही, तर दुसरे मंजूर स्थापत्य आहे। स्थानिक गाळणे अजूनही बसलेल्या मार्गावरून निरीक्षक काढू शकत नाही।

स्थानिक क्लायंट काय बदलू शकतो

हीच लोक चुकवतात ती सीमा, आणि हीच उरलेल्या दोन निरर्थक करते। लिनक्समध्ये CAP_NET_ADMIN त्याच्या नेटवर्क संदर्भात इंटरफेस संरचना, फायरवॉल प्रशासन आणि मार्ग बदल समाविष्ट करते। ती क्षमता असलेले सॉफ्टवेअर नुकतेच लिहिलेले धोरण पुन्हा लिहू शकते।

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

नेटवर्क नामस्थान नेटवर्क स्थितीसाठी खरी सीमा आणि बाकी सर्वांसाठी कमकुवत आहे: ते फाइलसिस्टम किंवा क्रेडेन्शियल भांडार वेगळे करत नाही। त्याला संपूर्ण समस्येचा कंटेनर न मानता एक स्तर माना।

क्लायंट आणि त्याची संरचना देखभाल असलेल्या स्रोताकडून मिळवा, तो मागणारा अधिकार तपासा, आणि विशेषाधिकार असलेले घटक प्रशासकाच्या नियंत्रणात ठेवा। मौल्यवान क्रेडेन्शियलशेजारी अस्पष्ट इंस्टॉलर चालवण्याची परवानगी न होता व्हर्च्युअल मशीन पात्र मूल्यांकन सीमेचा भाग असू शकते। इंस्टॉलर तुम्ही दिलेल्या कोणत्याही अधिकाराने चालतो, आणि तो अधिकारच सीमा आहे।

तुम्ही कोणती सीमा स्वीकारली ते लिहा

चार गोष्टींची नावे घेणाऱ्या वाक्याने समाप्त करा: विश्वासार्ह स्थानिक कोड, मंजूर दूरस्थ प्रवेश, संरक्षित अनुप्रयोग डेटा आणि उरलेला ऑपरेटर संबंध। ते वाक्य VM, ऑपरेटिंग सिस्टम किंवा अँटीव्हायरस उत्पादनाने शत्रुत्वाचे नेटवर्क सुरक्षित केले या सर्वसाधारण दाव्यापेक्षा अधिक मूल्यवान आहे।

मग निश्चित करा की संकुचित क्रिया चालते आणि मागितलेला नकार अजूनही टिकतो, टनेल पडल्यानंतरही। जी सीमा फक्त टनेल उभा असतानाच असते ती तुम्ही नोंदवलेली सीमा नाही।

कोणतीही चाचणी सिद्ध करत नाही की प्रत्येक भेद्यता अनुपस्थित आहे, आणि उलटा दावा करणारा आढावा अतिशयोक्ती करतो। प्रामाणिक निष्कर्ष उरलेला धोका आणि तो स्वीकारणाऱ्या व्यक्तीचे नाव देतो।