Hva en overlevert VPN-profil kan endre på enheten din

Å gi klienten din en VPN-profil er å gi den en konfigurasjon skrevet av noen andre, som programmet deretter kjører på maskinen din. Import kan endre hvor den dekkede trafikken går, hvilken motpart enheten din stoler på, og i noen formater hvilke lokale programmer som starter når tunnelen kommer opp. Filen er ikke et bokmerke; den er et lite program i et deklarativt format.

Les den slik du ville lest et skallskript fra samme kilde.

Det er klienten som tolker den, ikke du

Hvert felt i filen er en instruksjon til en bestemt klient. Endepunktet og protokollen avgjør hvor tunnelen går, autentiseringsblokken avgjør hvilken hemmelighet som kreves, og rutedirektivene avgjør hva som kommer inn i den. Sertifikater eller en privat nøkkel kan være innebygd som blokker i stedet for å refereres som filer, og derfor bærer én enkelt tekstfil noen ganger alt som trengs for å utgi seg for å være deg overfor en gateway. Nettopp den egenskapen gjør tilfeldig fildeling så farlig.

OpenVPN-profiler kan også bære skriptkroker, plugin-stier og et sikkerhetsnivå som avgjør om disse krokene får kjøre. Den kombinasjonen er det som gjør en ukjent profil verdt å lese linje for linje i stedet for å dobbeltklikke på den. Klienten gjør nøyaktig det filen sier, og den gjør det med dine rettigheter.

Ruteendringer er synlige etter én tilkobling

En fulltunnelprofil installerer ruter som sender alt gjennom gatewayen, mens en splittunnelprofil bare sender utvalgte prefikser. Noen profiler skyver også en DNS-server, noe som stille endrer hvem som ser spørringene dine. Ingenting av dette er ondsinnet i seg selv, og ingenting av det er åpenbart fra filnavnet.

Sammenlign rutetabellen før og etter den første tilkoblingen, og du ser hensikten med ett blikk. En profil som annonseres som tilgang til én intern applikasjon, men installerer en bredere standardrute, forteller deg noe om forfatteren.

Tillitsmaterialet og krokene bærer den virkelige vekten

En profil kan gi VPN-klienten tillitsinformasjon, og en plattformkonfigurasjonspakke kan gå lenger og installere et sertifikat eller en rot i et systemlager. Det er forskjellige omfang med forskjellige konsekvenser. Tilfellet i klientomfang påvirker valideringen i én applikasjon; tilfellet på systemnivå påvirker alt som bruker plattformens tillitslager.

Skriptkroker og plugins er den andre halvdelen. Et direktiv som kjører en kommando ved tilkobling, eller en plugin lastet inn i klientprosessen, har dine rettigheter og ingenting av klientens sandkasse. Hvis en profil du ikke ba om inneholder en, er det et spørsmål til personen som sendte den.

Ingen av de to kategoriene er automatisk fiendtlige. Bedriftsutrullinger bruker begge. Poenget er at hver av dem krever en forklaring du kan kontrollere.

Verifiser opprinnelsen, og skriv så inn hemmeligheten

Fastslå hvem som utstedte filen gjennom en kanal du allerede stoler på, ikke gjennom meldingen som leverte den. Sammenlign endepunktets og sertifikatets detaljer med operatørens publiserte dokumentasjon. Hvis en profil kom uoppfordret, skaff en ny direkte fra operatøren i stedet for å reparere kopien du fikk. Spør hvilken klientversjon operatøren støtter, fordi den samme filen kan tolkes annerledes av en annen klient.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Legg aldri inn et passord i et uforklart felt for å se om det virker, og aksepter aldri en ukjent rettighetsforespørsel bare for å fullføre en import. En vellykket tilkobling beviser at endepunktet svarte, ikke mer.

Fjern den importerte kopien, ikke nedlastingen

Klienter kopierer en profil til sitt eget lager, så sletting av den nedlastede filen lar den importerte tilkoblingen være aktiv. Fjern den via klientens eget grensesnitt, og kontroller at også ethvert sertifikat som ble lagt til under importen er borte. Bekreft deretter at også rutene den installerte er borte.

Hvis et sertifikat ble installert på systemnivå, er det ikke nok å fjerne profilen. Den oppryddingen hører til plattformens tillitsstyring, og den er verdt å gjøre bevisst i stedet for å håpe at neste omstart ordner det.