Wi-Fi awam dan VPN: apa yang terowong tidak lindungi

Lencana hijau, portal puas hati, pelayar berfungsi: itulah seluruh kisah yang kelihatan. Apa yang lencana tinggalkan ialah sambungan disulitkan dibawa tepat oleh pautan tanpa wayar yang sepatutnya melindungi anda daripadanya. Pautan itu masih menghantar setiap paket, masih melihat alamat destinasi dan masih menentukan sama ada apa-apa tiba. Menelusuri bahagian komputer riba bagi sambungan hotel menunjukkan bahagian mana terowong lindungi dan bahagian mana ia serahkan kepada anda.

Pautan akses membawa segala-galanya

Terowong IPsec ESP membalut paket dalaman yang dilindungi di dalam pengepala luar yang boleh dihalakan oleh rangkaian, dan RFC 4303 bahagian 3.1.2 menjelaskan pemisahan itu. Paket dalaman ialah apa yang terowong lindungi. Pengepala luar ialah apa yang dibaca hotspot untuk menghantarnya. Reka bentuk lain enkapsulasi secara berbeza, tetapi soalan perancangan tetap sama: laluan akses mana yang membawa sambungan ini?

Kegagalan get laluan atau pautan yang menggugurkan paket menghentikan penghantaran tanpa mendedahkan kandungan. Bertukar kepada sifer yang lebih kuat tidak membantu, kerana bahagian yang hilang ialah pengangkutan, bukan kriptografi. Penghantaran yang berjaya juga membuktikan sedikit sahaja dalam arah bertentangan, kerana laluan yang berfungsi tidak berkata apa-apa tentang keadaan mana-mana dua mesin itu.

Komputer riba anda masih mempunyai pintunya sendiri

Menyertai segmen yang tidak dipercayai mengubah siapa yang boleh mencapai port tempat mesin anda mendengar. Perkhidmatan perkongsian fail, ejen pentadbiran jauh atau pelayan pembangunan yang terikat pada semua antara muka boleh dicapai oleh sesiapa dalam segmen itu melainkan ada sesuatu yang menghentikannya. Trafik yang tidak pernah masuk ke terowong tidak dilindungi olehnya. Pendengar yang menjawab sebelum terowong naik terdedah tepat pada tetingkap itu.

Keperluan itu sempit dan wajar dinyatakan dengan tepat: komputer riba mesti mencapai titik akhir VPN, dan peranti tidak berkaitan di hotspot tidak boleh mencapai perkhidmatan tempatan. Peraturan tembok api hos menyatakan sempadan itu, dan tetapan perkongsian platform itu sendiri juga menyatakan sebahagian daripadanya. Pencetak atau langkah portal ialah pengecualian terhad yang anda tambah secara sengaja, bukan bukti bahawa seluruh hotspot layak mendapat kepercayaan LAN pejabat.

Sesetengah organisasi juga mengehadkan akses tempatan semasa sambungan kerja aktif, dan itu dasar, bukan kejuruteraan. Baca dasar itu sebelum melumpuhkan tembok api untuk membuat persisian berfungsi.

Semak apa yang sebenarnya mendengar

Lihat soket dan bukan halaman tetapan, kerana halaman menerangkan niat dan jadual soket menerangkan mesin. Dua senarai di bawah memisahkan setiap soket yang mendengar daripada yang boleh dicapai oleh jiran. Jalankannya pada segmen tidak dipercayai sebelum menyambung terowong.

ss -lntu
ss -lntup | grep -v 127.0.0.1
resolvectl query vpn.example.net

Perintah pertama menunjukkan setiap soket, dan yang kedua menapis kepada yang terikat di luar loopback. Perkhidmatan pada 0.0.0.0 atau :: tersedia pada setiap antara muka, termasuk yang tanpa wayar, manakala perkhidmatan yang sama pada 127.0.0.1 sama sekali tidak boleh dicapai dari segmen. Pertanyaan penyelesai mengesahkan laluan mana yang diambil oleh nama sebelum terowong wujud, dan di situlah portal terperangkap mengganggu. Ulangi senarai selepas menyambung, kerana sesetengah klien menaikkan antara muka yang mengubah jawapan.

Port yang hanya muncul semasa terowong naik kurang terdedah, walaupun masih wajar diketahui. Catat perbezaannya dan bukan senarai mutlak, kerana delta itulah yang ditambah oleh terowong.

Jangan terima identiti baharu di tengah-tengah sesi

Perubahan laluan tidak dijangka, sambungan semula atau ubah hala portal bukan izin untuk menerima identiti pelayan yang berbeza. Jika klien melaporkan ketidakpadanan sijil atau kunci, anggap ia sebagai penemuan identiti dan bukan sebagai sambungan yang perlu dielakkan. Memasang sijil akar tanpa penjelasan untuk membuat portal berfungsi mengubah masalah penghantaran menjadi masalah kepercayaan. Masalah kepercayaan itu kemudian hidup lebih lama daripada perjalanan yang menciptanya.

Gunakan aliran pelayar portal itu sendiri, kemudian sambung semula terowong dan baca log klien untuk identiti yang disahkannya. Kegagalan identiti bermaksud pihak lain bukan orang yang anda jangkakan, manakala kegagalan penghantaran bermaksud pihak lain tidak pernah menjawab. Yang pertama ialah sebab berhenti, dan yang kedua ialah sebab mencuba laluan lain.

Tentukan dahulu tingkah laku semasa gangguan

Di sini dua ciri berbeza dikelirukan. Sambungan semula cuba memulihkan perkhidmatan, manakala dasar penyekatan mengawal trafik mana yang dibenarkan semasa terowong turun. Kedua-duanya tidak menyediakan pautan tanpa wayar yang berfungsi, dan kedua-duanya tidak membuktikan titik akhir bersih. Pilih secara jelas: kegagalan tertutup untuk aplikasi yang tidak boleh menggunakan laluan tempatan, dan benarkan pelayaran biasa di luar terowong jika itu boleh diterima.

Tuliskan pilihan itu, kerana lalai dalam kebanyakan klien bukan salah satu daripadanya, dan ia berbeza mengikut versi. Kemudian sediakan laluan akses alternatif jika ketersediaan penting, seperti hotspot telefon dengan pelan data sendiri. Ujian penerimaan yang boleh diterima mempunyai tiga hasil berasingan: trafik yang dimaksudkan menggunakan terowong yang disahkan, pendengar tempatan tidak berkaitan tidak dapat dicapai, dan gangguan menghasilkan tingkah laku yang anda pilih.