VPN yang tidak dipercayai ialah tiga sempadan berasingan, bukan satu

«Saya tidak mempercayai VPN ini» biasanya tiga kenyataan yang memakai satu ayat. Rakan jauh pada rangkaian itu mungkin mencapai perkhidmatan pada hos anda, pengendali yang menjalankan terowong mungkin memerhati trafik yang melaluinya, dan perisian klien yang anda pasang mungkin boleh mengubah dasar rangkaian mesin anda. Kepercayaan yang wajar diperbetulkan ialah peraturan tembok api, mesin maya atau pemilihan sistem pengendalian yang teliti menjawab ketiga-tiganya. Setiap langkah menjawab tepat satu daripadanya.

Mitos: satu kawalan meliputi seluruh risiko

Andaian biasa ialah menyertai rangkaian tidak dipercayai ialah satu keputusan dengan satu pengurangan. Orang memilih kawalan yang mereka sudah percayai, melaksanakannya dan menganggap risiko selesai: tembok api hidup, ruang kerja boleh buang, klien datang daripada pembekal bereputasi.

Kawalan ini tidak bertindih seperti yang diandaikan. Tembok api hos mengehadkan apa yang boleh dicapai rakan jauh, dan ia tidak berbuat apa-apa terhadap pengendali yang menamatkan TLS anda. Mesin maya memisahkan ruang kerja daripada fail hos anda, dan ia tidak berbuat apa-apa terhadap komponen klien yang dibenarkan mengkonfigurasi semula tindanan rangkaian di bawah kedua-duanya. Menamakan sempadan yang sebenarnya dicipta setiap kawalan itulah keseluruhan latihan.

Memisahkannya juga memberitahu anda risiko mana yang anda pilih untuk terima. Kebanyakan keputusan sebenar mengurangkan satu sempadan dan bertolak ansur dengan yang lain, dan itu wajar selagi rekod perubahan menyatakan yang mana satu.

Apa yang sebenarnya boleh dicapai rakan jauh

Mulakan dengan perkhidmatan yang mendengar. Antara muka terowong yang dianggap dipercayai secara meluas kerana paketnya tiba disulitkan ialah kesilapan biasa, dan ia menjadikan setiap pendengar tempatan sasaran calon bagi sesiapa sahaja di rangkaian itu. Penyulitan melindungi wayar antara dua hujung; ia tidak berkata apa-apa tentang niat rakan di hujung sana.

ss -tulpn
sudo nft list ruleset
ip -br addr

Ikat perkhidmatan pada alamat yang mereka perlukan dan bukan pada setiap antara muka, dan benarkan hanya operasi yang dituntut tugas yang diluluskan. Kekalkan pemajuan, penjambatan dan proksi aplikasi secara eksplisit, kerana dua sambungan rangkaian tidak mencipta laluan transit sendiri, tetapi peraturan proksi pasti boleh.

Ruang kerja boleh buang yang diluluskan mengurangkan apa yang boleh dicapai rangkaian jauh, tetapi hanya apabila konfigurasi perkongsiannya sepadan dengan dakwaan. Folder dikongsi, integrasi papan keratan, ejen kelayakan dan saluran pengurusan semuanya melintasi sempadan yang sepatutnya dicipta ruang kerja. Label ruang kerja tidak membuktikan apa-apa tentang yang mana antaranya terbuka.

Seni bina kepercayaan sifar NIST menyatakan prinsip di sebalik semua ini: lokasi rangkaian sahaja tidak memberikan kepercayaan tersirat. Pengesahan sumber masih ada kerja selepas terowong diterima, begitu juga persoalan siapa lagi yang berkongsi rangkaian itu.

Apa yang boleh dilihat pengendali di laluan

VPN memindahkan trafik anda ke tempat lain di laluan; ia tidak menambah penyulitan aplikasi. Jika pembekal menamatkan TLS anda, pembekal boleh membaca apa yang pelayar anda sepatutnya lindungi, dan tiada peraturan tembok api tempatan mengubahnya.

Kekalkan pengesahan sijil biasa untuk destinasi sebenar dan fahami laluan penyelesai serta metadata, kerana pertanyaan DNS boleh mendedahkan lebih daripada muatan yang mendahuluinya. Metadata sahaja, iaitu alamat mana yang anda hubungi dan bila, sering menjawab soalan pengendali tanpa perlu membaca kandungan. Itulah sebabnya «trafik disulitkan» dan «trafik bersifat peribadi» ialah dakwaan berbeza.

Jika keterlihatan itu tidak boleh diterima untuk tugas tersebut, jawapannya ialah seni bina lain yang diluluskan dan bukan penapisan tempatan yang lebih banyak. Penapisan tempatan tidak boleh mengeluarkan pemerhati daripada laluan yang masih didudukinya.

Apa yang boleh diubah klien tempatan

Inilah sempadan yang orang terlepas, dan inilah yang menjadikan dua yang lain tidak bermakna. Pada Linux, CAP_NET_ADMIN meliputi konfigurasi antara muka, pentadbiran tembok api dan perubahan laluan dalam konteks rangkaiannya. Perisian yang memegang keupayaan itu boleh menulis semula dasar yang baru anda tulis.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ruang nama rangkaian ialah sempadan sebenar untuk keadaan rangkaian dan sempadan lemah untuk segala-galanya: ia tidak mengasingkan sistem fail atau stor kelayakan. Anggapnya sebagai satu lapisan dan bukan bekas untuk seluruh masalah.

Dapatkan klien dan konfigurasinya daripada sumber yang diselenggara, semak kuasa yang dimintanya, dan kekalkan komponen istimewa di bawah kawalan pentadbir. Mesin maya boleh menjadi sebahagian daripada sempadan penilaian yang layak tanpa menjadi kebenaran menjalankan pemasang yang tidak dijelaskan di samping kelayakan berharga. Pemasang berjalan dengan apa jua kuasa yang anda berikan, dan kuasa itulah sempadannya.

Tuliskan sempadan mana yang anda terima

Akhiri dengan ayat yang menamakan empat perkara: kod tempatan dipercayai, akses jauh dibenarkan, data aplikasi dilindungi dan hubungan pengendali yang kekal. Ayat itu lebih bernilai daripada dakwaan menyeluruh bahawa VM, sistem pengendalian atau produk antivirus menjadikan rangkaian bermusuhan selamat.

Kemudian sahkan bahawa operasi sempit itu berfungsi dan penafian yang diwajibkan masih bertahan, termasuk selepas terowong jatuh. Sempadan yang hanya wujud semasa terowong naik bukan sempadan yang anda dokumentasikan.

Tiada ujian membuktikan bahawa setiap kelemahan tiada, dan semakan yang mendakwa sebaliknya berlebihan. Hasil yang jujur menamakan risiko baki dan orang yang menerimanya.