Fail OVPN tidak dikenali: risiko tempatan dan kepercayaan jauh

Anggap fail OVPN sebagai input kepada program, bukan sebagai sijil bahawa kandungannya tidak berbahaya. Memeriksa alamat pelayan hanya menjawab ke mana profil mahu menyambung, dan bukan apa-apa lagi. Dalam fail itu ada dua keputusan kepercayaan yang berasingan: apa yang klien boleh lakukan pada mesin anda, dan operator mana yang menerima trafik. Nama protokol yang biasa tidak menyelesaikan kedua-duanya.

Dua keputusan tersembunyi dalam satu fail

Keputusan pertama bersifat tempatan. Profil ialah bahasa konfigurasi, dan klien yang membacanya mungkin menyokong arahan yang memuatkan pemalam, menjalankan skrip atau mengubah cara penghalaan dan DNS digunakan. Keputusan kedua bersifat jauh. Apa pun kandungan fail itu, operator keluar melihat trafik yang sampai kepadanya.

Mengelirukan kedua-duanya menghasilkan nasihat buruk dalam kedua-dua arah: profil yang kelihatan bersih daripada operator tidak dikenali, atau profil operator terkenal dengan cangkuk yang tidak dibaca sesiapa. Profil yang selamat secara tempatan masih boleh menyerahkan trafik anda kepada seseorang yang anda tidak akan pilih.

Baca profil itu sebelum mana-mana klien melakukannya

Baca fail itu sebagai teks sebelum mana-mana klien memprosesnya. Cari arahan yang menunjuk ke luar fail, merujuk fail boleh laku atau mengubah keistimewaan, dan bandingkan senarai itu dengan sokongan klien yang didokumenkan. Carian ringkas bukan audit keselamatan, tetapi ia memberitahu anda sama ada profil itu senarai pelayan atau sesuatu yang lebih.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Hasil kosong menggalakkan dan tidak muktamad, kerana pilihan boleh saling mempengaruhi atau datang daripada fail yang disertakan. Anggap senarai yang ditapis sebagai sebab untuk terus membaca, bukan sebagai keputusan.

Arahan yang datang bersama profil sama-sama perlu diteliti seperti profil. Empat permintaan sepatutnya menghentikan anda: dayakan skrip, pasang pembantu atau pustaka, jalankan klien sebagai pentadbir, atau lemahkan sekatan import. Setiap satu mengalihkan sempadan kepercayaan ke luar, dan tiada satu pun bahagian biasa dalam mengimport senarai pelayan.

Baca juga keseluruhan fail sekali, kerana satu baris yang tidak dikenali lebih mudah dinilai dalam konteks daripada dalam senarai yang ditapis. Jika baris itu tidak dikenali, cari dalam manual klien anda dan jangan meneka.

Apa yang sebenarnya akan dilaksanakan oleh klien

Manual 2.6 Community OpenVPN mendokumenkan tangga script-security: tahap 1 ialah lalai dan menyekat skrip yang ditentukan pengguna, manakala tahap 2 membenarkannya. Pemuatan pemalam ialah kemudahan berasingan dengan arahannya sendiri. Itulah sebabnya fail yang sama boleh bermakna perkara berbeza dalam klien berbeza. Klien mudah alih dan vendor mungkin menerima set arahan yang lebih sempit, atau tiada satu pun cangkuk itu.

Cara pelancaran sama pentingnya dengan klien. Profil yang dimulakan oleh pembantu istimewa boleh melakukan lebih daripada yang dimulakan dalam ruang pengguna, dan perbezaan itu ialah sebab untuk membaca gesaan import dan bukan mengabaikannya.

Versi juga penting, kerana tahap ini ditakrifkan mengikut keluaran dan klien yang ketinggalan beberapa versi mungkin tidak melaksanakan dasar yang sama. Baca manual yang sepadan dengan binaan yang anda jalankan, bukan yang terbaharu yang anda temui. Jika klien tidak memaparkan rentetan versi di mana-mana, itu sudah menjadi sebab untuk melambatkan.

Bandingkan operator, bukan hanya alamat

Bandingkan operator seperti anda membandingkan mana-mana perantara lain. Tanya siapa yang mengendalikan keluar, apa yang mereka log, dan bagaimana profil itu sampai kepada anda. Halaman muat turun yang disahkan dan cap jari yang sepadan lebih bermakna daripada nama hos yang biasa. Pelayan yang boleh dicapai hanya membuktikan bahawa sesuatu menjawab.

Kelayakan ialah bahagian yang orang sering salah di bawah tekanan. Jangan taip kata laluan akaun yang tidak berkaitan ke dalam profil yang dimuat turun kerana nama pelayan itu kelihatan biasa. Profil juga boleh membawa kunci peribadi secara terbuka, jadi menyiarkan keseluruhan fail dalam utas ulasan menyerahkan kunci itu kepada utas.

Sesi HTTPS yang disahkan dengan betul masih menyembunyikan kandungan halaman daripada sesiapa yang hanya memajukan paket, jadi operator keluar tidak melihat setiap kata laluan secara automatik. Ia memang melihat tapak mana yang anda capai, dan sempadan itu wajar dinyatakan dengan tepat, bukan dibesar-besarkan.

Apabila asal fail kekal tidak jelas, atau keistimewaan yang dimintanya tiada penjelasan yang anda boleh terima, gantikan profil itu dengan satu daripada sumber yang boleh dipertanggungjawabkan. Pada sambungan kerja terurus, pentadbir sepatutnya meluluskan klien dan konfigurasi sebagai satu keputusan, bukan dua. Tiada apa di sini yang menuntut anda membuktikan niat jahat dahulu; menolak akses ialah jawapan yang sah.