Ukjente OVPN-filer: lokal risiko og tillit på avstand

Behandle en OVPN-fil som input til et program, ikke som et bevis på at innholdet er ufarlig. Å kontrollere serveradressen svarer bare på hvor profilen vil koble til, og ingenting annet. To atskilte tillitsbeslutninger ligger i den filen: hva klienten kan gjøre på maskinen din, og hvilken operatør som mottar trafikken. Et kjent protokollnavn avgjør ingen av dem.

To beslutninger gjemmer seg i én fil

Den første beslutningen er lokal. Profilen er et konfigurasjonsspråk, og klienten som leser den kan støtte direktiver som laster inn en plugin, kjører et skript eller endrer hvordan ruting og DNS brukes. Den andre beslutningen er ekstern. Uansett hva filen inneholder, ser utgangsoperatøren trafikken som når den.

Å blande de to gir dårlig råd i begge retninger: en ren profil fra en ukjent operatør, eller en kjent operatørs profil med en krok ingen har lest. En profil som er trygg lokalt kan fortsatt gi trafikken din til noen du ikke ville valgt.

Les profilen før noen klient gjør det

Les filen som tekst før noen klient behandler den. Se etter direktiver som peker utenfor filen, viser til kjørbare filer eller endrer privilegier, og sammenlign listen med klientens dokumenterte støtte. Et kort søk er ikke en sikkerhetsrevisjon, men det forteller deg om profilen er en serverliste eller noe mer.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Et tomt resultat er betryggende og ikke avgjørende, fordi alternativer kan påvirke hverandre eller komme fra en inkludert fil. Behandle den filtrerte listen som en grunn til å lese videre, ikke som en dom.

Instruksjonene som følger med profilen fortjener samme gransking som profilen. Fire forespørsler bør stoppe deg: aktivere skript, installere en hjelper eller et bibliotek, kjøre klienten som administrator, eller svekke en importbegrensning. Hver av dem flytter tillitsgrensen utover, og ingen av dem er en vanlig del av å importere en serverliste.

Les også hele filen én gang, fordi én ukjent linje er lettere å vurdere i sammenheng enn i en filtrert liste. Hvis en linje er ukjent, slå den opp i håndboken for klienten din i stedet for å gjette.

Hva klienten faktisk vil kjøre

Håndboken for 2.6 Community OpenVPN dokumenterer script-security-trappen: nivå 1 er standard og blokkerer brukerdefinerte skript, mens nivå 2 tillater dem. Innlasting av plugins er en egen ordning med sitt eget direktiv. Derfor kan samme fil bety ulike ting i ulike klienter. Mobile klienter og leverandørklienter godtar kanskje et snevrere sett direktiver, eller ingen av krokene.

Startmetoden betyr like mye som klienten. En profil som startes av en privilegert hjelper kan gjøre mer enn en som startes i brukerrommet, og den forskjellen er en grunn til å lese importmeldingen i stedet for å avvise den.

Versjonen betyr også noe, fordi disse nivåene defineres per utgivelse, og en klient flere versjoner bakover implementerer kanskje ikke samme policy. Les håndboken som passer bygget du kjører, ikke den nyeste du finner. Hvis klienten ikke viser en versjonsstreng noe sted, er det allerede en grunn til å senke tempoet.

Sammenlign operatøren, ikke bare adressen

Sammenlign operatører slik du sammenligner enhver annen mellommann. Spør hvem som driver utgangen, hva de logger, og hvordan profilen nådde deg. En verifisert nedlastingsside og et samsvarende fingeravtrykk sier mer enn et kjent vertsnavn. En server som kan nås beviser bare at noe svarte.

Påloggingsinformasjon er den delen folk gjør feil under press. Ikke skriv inn passordet til en urelatert konto i en nedlastet profil fordi servernavnet ser kjent ut. En profil kan også bære en privat nøkkel i klartekst, så å legge hele filen i en anmeldelsestråd gir den nøkkelen til tråden.

En korrekt validert HTTPS-økt skjuler fortsatt sideinnhold for alle som bare videresender pakker, så utgangen ser ikke automatisk hvert passord. Den ser derimot hvilke nettsteder du når, og den grensen er verdt å si presist i stedet for å overdrive.

Der filens opprinnelse forblir uklar, eller et privilegium den ber om ikke har en forklaring du kan godta, erstatt profilen med en fra en kilde som kan stilles til ansvar. På en administrert arbeidsforbindelse bør administratoren godkjenne klienten og konfigurasjonen som én beslutning, ikke to. Ingenting her krever at du først beviser ondskap; å avslå tilgang er et legitimt svar.