Kan een VPN in een VM het verkeer voor de host verbergen?

Je installeert de client in een virtuele machine, de tunnel komt op en het verkeer van de gast wordt versleuteld. Dat is iets waard tegen het netwerk buiten de machine. Tegen het besturingssysteem dat de gast draait, levert het veel minder op, want dat kan het geheugen van de gast lezen en het scherm bekijken. De controles hieronder scheiden wat de tunnel beschermt van wat de host houdt.

De host leest platte tekst voordat de tunnel dat doet

Een desktop-hypervisor geeft de gast CPU-tijd en kan het geheugen lezen dat die schrijft, inclusief de pagina die een browser net ontsleutelde. Een monitoringshulpmiddel op de host leest die platte tekst zonder het cijfer aan te vallen, en een keylogger op hetzelfde niveau verzamelt toetsaanslagen voordat een client ze inwikkelt. Niets daarvan vraagt een kapotte VPN, dus een schone tunnel kan naast een geïnstrumenteerde host staan.

Wat die positie niet weggeeft, zijn de sleutels van het verre uiteinde, of inhoud die een ander eindpunt end-to-end beschermt. De tunnel houdt nog steeds stand tegen het netwerk dat hij doorkruist; de kloof is lokaal.

Artefacten overleven de sessie

Pauzeer een VirtualBox-gast en naast de machine verschijnt een .sav-bestand met de opgeslagen geheugentoestand. VMware laat tijdens suspenden en snapshots .vmem- en .vmsn-bestanden achter, en Hyper-V-controlepunten laten .avhdx-verschilschijven op het hostvolume groeien. Geen van die bestanden wordt versleuteld door de schijfversleuteling van de gast. Het wisselbestand van de host kan ook pagina's ontvangen die de hypervisor wegduwde, het spoor waarover Tails waarschuwt in zijn handleiding over virtualisatie. Controleer of de hypervisor snapshots bewaart en of de swap van de host op een versleuteld volume staat.

Bepaal een bewaarregel voor die bestanden in plaats van de standaard te vertrouwen, die ze houdt tot iemand ze verwijdert. Een gast die een amnestische sessie adverteert, verandert daar niets aan; de host schrijft het bestand, dus het beleid van de host geldt. Als je niet kunt zeggen waar de snapshots staan of wie ze kan openen, is het ontwerp van de gast niet beoordeeld.

Schijfversleuteling dekt een smaller geval

Het versleutelen van de gastenschijf beschermt een image in rust, een volume dat naar een andere machine wordt gedragen, of een back-up die ontsnapt. Het doet niets terwijl de gast draait, omdat de hypervisor het geheugen leest nadat de gast het heeft ontsleuteld. Behandel de wachtwoordzin als bescherming voor opgeslagen kopieën, niet als schild tegen de machine die de VM uitvoert.

Sleutels en live uitvoering zijn aparte vragen. In een gehoste of gedeelde omgeving kan de aanbieder de imagesleutels houden terwijl de gast draait op hardware die je nooit inspecteert, dus leg beide antwoorden vast.

Het transport is niet hetzelfde beeld

Wie de tunnel van de gast draagt, ziet de buitenste eindpunten, de timing en het volume, zelfs wanneer de payload gesloten blijft. Metadata van die vorm beantwoordt vaak de vraag die de waarnemer werkelijk heeft, dus behandel het als deel van de blootstelling en niet als ruis. De adaptermodus en de routering bepalen of VPN-regels op hostniveau het verkeer van de gast überhaupt raken.

Test dat van binnenuit de gast, niet vanuit een browser op de host. Een hostbrowser kan gedekt zijn terwijl de gast rechtstreeks naar buiten is gebrugd, en beide kunnen een verbinding delen terwijl ze verschillende routes gebruiken. Noteer de adaptermodus en controleer dan een opname op de fysieke interface van de host in plaats van een aanname te vertrouwen.

Vernauw de overgangen en schrijf dan het verslag

Draai de gast op hardware die je beheert, houd de hypervisor gepatcht en schakel gedeelde mappen, klembord delen en slepen en neerzetten alleen in waar het werk ze nodig heeft. Elk daarvan is een kanaal tussen host en gast, en de meegeleverde standaard is meestal opener dan de taak vereist. Zet de gastaanvullingen uit die je niet gebruikt en bevestig daarna dat de instellingen een herstart overleven, want een upgrade kan terugzetten wat je had uitgeschakeld.

Deze stappen vernauwen de overgangen; ze maken de gast geen aparte fysieke vertrouwensgrens. Een gehardende VM als zo'n grens behandelen is waar risicobeoordelingen meestal de fout in gaan.

Leg voor gevoelig werk vast hoe het verkeer wordt gerouteerd en welke lokale systemen de werklast draaien en bewaren. Voeg toe wie de host beheert en welke bestanden de sessie overleven. Een privacybrief die alleen de tunnel opsomt, beschrijft de helft van de opzet.