Fajls OVPN mhux magħrufa: riskju lokali u fiduċja mill-bogħod

Ittratta fajl OVPN bħala input għal programm, mhux bħala ċertifikat li l-kontenut tiegħu huwa bla ħsara. L-iċċekkjar tal-indirizz tas-server iwieġeb biss fejn il-profil irid jikkonnettja, u xejn aktar. F’dak il-fajl hemm żewġ deċiżjonijiet ta’ fiduċja separati: x’jista’ jagħmel il-klijent fuq il-magna tiegħek, u liema operatur jirċievi t-traffiku. Isem ta’ protokoll magħruf ma jsolvix la waħda u lanqas l-oħra.

Żewġ deċiżjonijiet jinħbew f’fajl wieħed

L-ewwel deċiżjoni hija lokali. Il-profil huwa lingwa ta’ konfigurazzjoni, u l-klijent li jaqrah jista’ jappoġġja direttivi li jgħabbu plugin, iħaddmu skript jew ibiddlu kif jiġu applikati r-routing u d-DNS. It-tieni deċiżjoni hija mill-bogħod. X’ikun fih il-fajl, l-operatur tal-ħruġ jara t-traffiku li jasal għandu.

It-taħlit taż-żewġ jagħti parir ħażin fiż-żewġ direzzjonijiet: profil li jidher nadif minn operatur mhux magħruf, jew il-profil ta’ operatur magħruf bi hook li ħadd ma qara. Profil li huwa sikur lokalment xorta jista’ jagħti t-traffiku tiegħek lil xi ħadd li ma tagħżilx.

Aqra l-profil qabel ma jagħmel dan kwalunkwe klijent

Aqra l-fajl bħala test qabel ma jipproċessah kwalunkwe klijent. Fittex direttivi li jindikaw barra mill-fajl, jirreferu għal esegwibbli jew ibiddlu privileġġi, u qabbel dik il-lista mal-appoġġ dokumentat tal-klijent. Tiftixa qasira mhijiex verifika tas-sigurtà, imma tgħidlek jekk il-profil huwiex lista ta’ servers jew xi ħaġa aktar.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Riżultat vojt huwa ta’ serħan u mhux konklużiv, għaliex l-għażliet jistgħu jinteraġixxu jew jiġu minn fajl inkluż. Qis il-lista ffiltrata bħala raġuni biex tkompli taqra, mhux bħala verdett.

L-istruzzjonijiet li jiġu mal-profil jixirqilhom l-istess skrutinju bħall-profil. Erba’ talbiet għandhom iwaqqfuk: ippermetti skripts, installa assistent jew librerija, ħaddem il-klijent bħala amministratur, jew iddgħajjef restrizzjoni tal-importazzjoni. Kull waħda minnhom iċċaqlaq il-konfini tal-fiduċja ’l barra, u ebda waħda mhijiex parti ordinarja mill-importazzjoni ta’ lista ta’ servers.

Aqra wkoll il-fajl kollu darba, għaliex linja waħda mhux magħrufa hija eħfef tiġi ġġudikata fil-kuntest milli f’lista ffiltrata. Jekk linja mhijiex magħrufa, fittixha fil-manwal tal-klijent tiegħek minflok taqta’ bl-addoċċ.

X’se jwettaq il-klijent fil-verità

Il-manwal 2.6 ta’ Community OpenVPN jiddokumenta s-swaba’ script-security: il-livell 1 huwa l-predeffinit u jimblokka skripts definiti mill-utent, filwaqt li l-livell 2 jippermettihom. It-tagħbija tal-plugins hija faċilità separata bid-direttiva tagħha. Għalhekk l-istess fajl jista’ jfisser affarijiet differenti fi klijenti differenti. Klijenti mobbli u tal-manifattur jistgħu jaċċettaw sett dejjaq ta’ direttivi, jew l-ebda wieħed mill-hooks.

Il-metodu tat-tnedija huwa importanti daqs il-klijent. Profil li jinbeda minn assistent privileġġjat jista’ jagħmel aktar minn wieħed li jinbeda fl-ispazju tal-utent, u dik id-differenza hija raġuni biex taqra l-mistoqsija tal-importazzjoni minflok tiskartaha.

Il-verżjoni hija importanti wkoll, għaliex dawn il-livelli huma definiti għal kull rilaxx u klijent b’xi verżjonijiet lura jista’ ma jimplimentax l-istess politika. Aqra l-manwal li jaqbel mal-build li qed tħaddem, mhux l-aktar ġdid li ssib. Jekk il-klijent ma jurix string tal-verżjoni imkien, dik hija diġà raġuni biex tnaqqas il-pass.

Qabbel l-operatur, mhux biss l-indirizz

Qabbel l-operaturi kif tqabbel kwalunkwe intermedjarju ieħor. Staqsi min iħaddem il-ħruġ, x’jirreġistraw, u kif il-profil wasal għandek. Paġna tat-tniżżil verifikata u marka tal-werrej li taqbel jgħidu aktar minn isem ta’ host magħruf. Server aċċessibbli jipprova biss li xi ħaġa wieġbet.

Il-kredenzjali huma l-parti li n-nies jiżbaljaw taħt pressjoni. Tittajpjax password ta’ kont mhux relatat fi profil imniżżel għaliex l-isem tas-server jidher magħruf. Profil jista’ jġorr ukoll ċavetta privata fil-beraħ, għalhekk li tpoġġi l-fajl kollu fi ħajta ta’ reviżjoni tagħti dik iċ-ċavetta lill-ħajta.

Sessjoni HTTPS ivvalidata kif suppost xorta taħbi l-kontenut tal-paġna minn kull min qed jgħaddi biss pakketti, għalhekk il-ħruġ ma jarax awtomatikament kull password. Imma jara liema siti tilħaq, u dak il-konfini jixraqlu jingħad b’mod preċiż minflok esaġerat.

Fejn l-oriġini tal-fajl tibqa’ mhux ċara, jew privileġġ li jitlob m’għandux spjegazzjoni li tista’ taċċetta, ibdel il-profil b’wieħed minn sors li jista’ jinżamm responsabbli. Fuq konnessjoni tax-xogħol immaniġġjata, l-amministratur għandu japprova l-klijent u l-konfigurazzjoni bħala deċiżjoni waħda, mhux tnejn. Xejn hawn ma jitlob li inti l-ewwel tipprova ħażen; li tirrifjuta aċċess hija tweġiba leġittima.