VPN mhux affidabbli huma tliet fruntieri separati, mhux waħda

«Ma nafdax dan il-VPN» normalment huma tliet dikjarazzjonijiet liebsa sentenza waħda. Il-pari mill-bogħod f’dik in-netwerk jistgħu jilħqu servizzi fuq il-host tiegħek, l-operatur li jmexxi t-tunnel jista’ josserva traffiku li jgħaddi minnu, u s-software tal-klijent li installajt jista’ jbiddel il-politika tan-netwerk tal-magna tiegħek. It-twemmin li jistħoqqlu korrezzjoni hu li regola tal-firewall, magna virtwali jew għażla attenta tas-sistema operattiva twieġeb għat-tlieta. Kull miżura twieġeb għal waħda minnhom b’mod eżatt.

Il-mit: kontroll wieħed ikopri r-riskju kollu

Is-suppożizzjoni komuni hija li tissieħeb f’netwerk mhux affidabbli hija deċiżjoni waħda b’mitigazzjoni waħda. In-nies jagħżlu l-kontroll li diġà jafdaw, japplikawh u jqisu r-riskju magħluq: il-firewall mixgħul, l-ispazju tax-xogħol jintrema, il-klijent ġej minn fornitur rispettat.

Dawn il-kontrolli ma jidħlux fuq xulxin kif tissuġġerixxi s-suppożizzjoni. Firewall tal-host jillimita x’jista’ jilħaq pari mill-bogħod, u ma jagħmel xejn kontra operatur li jtemm it-TLS tiegħek. Magna virtwali tissepara spazju tax-xogħol mill-fajls tal-host tiegħek, u ma tagħmel xejn kontra komponent tal-klijent li jitħalla jikkonfigura mill-ġdid il-munzell tan-netwerk taħt it-tnejn. Li ssemmi l-fruntiera li kull kontroll fil-fatt joħloq hija l-eżerċizzju kollu.

Is-separazzjoni tagħhom tgħidlek ukoll liema riskju għażilt li taċċetta. Il-biċċa l-kbira tad-deċiżjonijiet reali jnaqqsu fruntiera waħda u jittolleraw oħra, u dan huwa tajjeb sakemm ir-reġistru tal-bidla jgħid liema hija liema.

X’jista’ fil-fatt jilħaq il-pari mill-bogħod

Ibda b’servizzi li qed jisimgħu. L-interface tat-tunnel li tiġi trattata bħala affidabbli b’mod wiesa’ għax il-pakketti tagħha waslu encrypted hija l-iżball tas-soltu, u tagħmel kull semmiegħ lokali mira possibbli għal kulħadd ieħor f’dak in-netwerk. L-encryption tipproteġi l-wajer bejn żewġ trufijiet; ma tgħid xejn dwar il-ħsieb tal-pari fit-tarf l-ieħor.

ss -tulpn
sudo nft list ruleset
ip -br addr

Irbot is-servizzi mal-indirizz li għandhom bżonn u mhux ma’ kull interface, u ppermettti biss l-operazzjonijiet li teħtieġ il-kompitu approvat. Żomm il-forwarding, il-bridging u l-proxy tal-applikazzjonijiet espliċiti, għax żewġ konnessjonijiet tan-netwerk ma joħolqux mogħdija ta’ tranżitu waħedhom, imma regola tal-proxy żgur tista’.

Spazju tax-xogħol jintrema u approvat inaqqas dak li tista’ tilħaq in-netwerk mill-bogħod, imma biss meta l-konfigurazzjoni tal-qsim tiegħu taqbel mad-dikjarazzjoni. Folders maqsuma, integrazzjoni tal-clipboard, aġenti tal-kredenzjali u kanali tal-ġestjoni kollha jaqsmu l-fruntiera li l-ispazju tax-xogħol kellu joħloq. It-tikketta tal-ispazju tax-xogħol ma tipprova xejn dwar liema minnhom huma miftuħa.

L-arkitettura ta’ fiduċja żero tan-NIST tiddikjara l-prinċipju wara dan kollu: il-post fin-netwerk waħdu ma jagħtix fiduċja impliċita. L-awtentikazzjoni tar-riżorsi għad għandha xogħol wara li t-tunnel jiġi ammess, u l-istess il-mistoqsija dwar min ieħor jaqsam dak in-netwerk.

X’jista’ jara l-operatur fil-mogħdija

VPN iċċaqlaq it-traffiku tiegħek għal post ieħor fil-mogħdija; ma jżidx encryption tal-applikazzjoni. Jekk il-fornitur itemm it-TLS tiegħek, il-fornitur jista’ jaqra dak li l-browser tiegħek kien jipproteġi mod ieħor, u l-ebda regola tal-firewall lokali ma tbiddel dan.

Żomm il-validazzjoni normali taċ-ċertifikati għad-destinazzjoni vera u fhem il-mogħdija tar-resolver u tal-metadata, għax mistoqsija DNS tista’ tikxef aktar mill-payload li tiġi qabilha. Il-metadata biss, jiġifieri liema indirizzi kkuntattjajt u meta, spiss twieġeb il-mistoqsija tal-operatur mingħajr ebda bżonn li jaqra l-kontenut. Huwa għalhekk li «it-traffiku huwa encrypted» u «it-traffiku huwa privat» huma dikjarazzjonijiet differenti.

Jekk dik il-viżibilità hija inaċċettabbli għall-kompitu, it-tweġiba hija arkitettura approvata oħra minflok aktar filtru lokali. Il-filtru lokali ma jistax ineħħi osservatur minn mogħdija li għadu qiegħed fuqha.

X’tista’ tbiddel il-klijent lokali

Din hija l-fruntiera li n-nies jitilfu, u din hija dik li tagħmel it-tnejn l-oħra bla sens. Fuq Linux, CAP_NET_ADMIN tkopri l-konfigurazzjoni tal-interfaces, l-amministrazzjoni tal-firewall u l-bidliet fil-mogħdijiet fil-kuntest tan-netwerk tagħha. Software li jkollu dik il-kapaċità jista’ jerġa’ jikteb il-politika li għadek kemm ktibt.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Namespace tan-netwerk hija fruntiera vera għall-istat tan-netwerk u waħda fqira għal kollox ieħor: ma tiżolax is-sistema tal-fajls jew il-maħżen tal-kredenzjali. Ittrattaha bħala saff wieħed u mhux bħala kontenitur għall-problema kollha.

Ikseb il-klijent u l-konfigurazzjoni tiegħu minn sors miżmum, aġġorna l-awtorità li jitlob, u żomm il-komponenti privileġġati taħt il-kontroll tal-amministratur. Magna virtwali tista’ tkun parti minn fruntiera ta’ valutazzjoni kwalifikata mingħajr ma ssir permess li jitħaddem installer mhux spjegat ħdejn kredenzjali prezzjużi. L-installer jaħdem b’kwalunkwe awtorità li tagħtih, u dik l-awtorità hija l-fruntiera.

Ikteb liema fruntiera aċċettajt

Iġġi fi tmiem b’sentenza li ssemmi erba’ affarijiet: il-kodi lokali affidabbli, l-aċċess mill-bogħod permess, id-data tal-applikazzjoni protetta u r-relazzjoni mal-operatur li tibqa’. Dik is-sentenza tiswa aktar minn dikjarazzjoni ġenerali li VM, sistema operattiva jew prodott antivirus għamlu netwerk ostili sigur.

Imbagħad ikkonferma li l-operazzjoni dejqa taħdem u li ċ-ċaħda meħtieġa għadha tinqabad, ukoll wara li t-tunnel jaqa’. Fruntiera li teżisti biss sakemm it-tunnel huwa ’l fuq mhix il-fruntiera li ddeskrivejt.

L-ebda test ma jipprova li kull vulnerabbiltà hija assenti, u reviżjoni li tgħid il-kuntrarju tkabbar. Il-ħruġ onest isemmi r-riskju li jibqa’ u l-persuna li aċċettatu.