Ukjende OVPN-filer: lokal risiko og tillit på avstand

Handsam ei OVPN-fil som inn-data til eit program, ikkje som eit prov på at innhaldet er ufarleg. Å kontrollere serveradressa svarar berre på kvar profilen vil kople til, og ingenting anna. To skilde tillitsavgjerder ligg i den fila: kva klienten kan gjere på maskinen din, og kva operatør som tek imot trafikken. Eit kjent protokollnamn avgjer ingen av dei.

To avgjerder gøymer seg i éi fil

Den første avgjerda er lokal. Profilen er eit konfigurasjonsspråk, og klienten som les han kan støtte direktiv som lastar inn ein plugin, køyrer eit skript eller endrar korleis ruting og DNS blir brukt. Den andre avgjerda er ekstern. Uansett kva fila inneheld, ser utgangsoperatøren trafikken som når han.

Å blande dei to gir dårlege råd i begge retningar: ein rein profil frå ein ukjend operatør, eller profilen til ein kjend operatør med ein krok ingen har lese. Ein profil som er trygg lokalt kan framleis gi trafikken din til nokon du ikkje ville valt.

Les profilen før nokon klient gjer det

Les fila som tekst før nokon klient handsamar ho. Sjå etter direktiv som peikar utanfor fila, viser til køyrbare filer eller endrar privilegium, og samanlikn lista med den dokumenterte støtta til klienten. Eit kort søk er ikkje ein sikkerheitsrevisjon, men det fortel deg om profilen er ei serverliste eller noko meir.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Eit tomt resultat er trygt og ikkje avgjerande, fordi val kan påverke kvarandre eller kome frå ei inkludert fil. Handsame den filtrerte lista som ein grunn til å lese vidare, ikkje som ein dom.

Instruksjonane som følgjer med profilen fortener same gransking som profilen. Fire førespurnader bør stoppe deg: slå på skript, installere ein hjelpar eller eit bibliotek, køyre klienten som administrator, eller svekkje ei importavgrensing. Kvar av dei flyttar tillitsgrensa utover, og ingen av dei er ein vanleg del av å importere ei serverliste.

Les også heile fila éin gong, fordi éi ukjend linje er lettare å vurdere i samanheng enn i ei filtrert liste. Om ei linje er ukjend, slå ho opp i handboka for klienten din i staden for å gisse.

Kva klienten faktisk vil køyre

Handboka for 2.6 Community OpenVPN dokumenterer script-security-trappa: nivå 1 er standard og blokkerer brukardefinerte skript, medan nivå 2 tillèt dei. Innlasting av plugin er ei eiga ordning med sitt eige direktiv. Difor kan same fil bety ulike ting i ulike klientar. Mobile klientar og leverandørklientar godtek kanskje eit snevrare sett direktiv, eller ingen av krokane.

Startmetoden betyr like mykje som klienten. Ein profil som blir starta av ein privilegert hjelpar kan gjere meir enn ein som blir starta i brukarrommet, og den skilnaden er ein grunn til å lese importmeldinga i staden for å avvise ho.

Versjonen betyr også noko, fordi desse nivåa blir definerte per utgiving, og ein klient fleire versjonar bakover implementerer kanskje ikkje same policy. Les handboka som passar bygget du køyrer, ikkje den nyaste du finn. Om klienten ikkje viser ein versjonsstreng nokon stad, er det alt ein grunn til å senke tempoet.

Samanlikn operatøren, ikkje berre adressa

Samanlikn operatørar slik du samanliknar ein kvar annan mellommann. Spør kven som driv utgangen, kva dei loggar, og korleis profilen nådde deg. Ei verifisert nedlastingsside og eit samsvarande fingeravtrykk seier meir enn eit kjent vertsnamn. Ein server som kan nåast beviser berre at noko svara.

Påloggingsinformasjon er den delen folk gjer feil under press. Ikkje skriv inn passordet til ein urelatert konto i ein nedlasta profil fordi servernamnet ser kjent ut. Ein profil kan også bere ein privat nøkkel i klartekst, så å leggje heile fila i ein omtaletråd gir den nøkkelen til tråden.

Ei rett validert HTTPS-økt skjuler framleis sideinnhald for alle som berre videresender pakkar, så utgangen ser ikkje automatisk kvart passord. Han ser derimot kva nettstader du når, og den grensa er verdt å seie presist i staden for å overdrive.

Der opphavet til fila blir uklart, eller eit privilegium ho ber om ikkje har ei forklaring du kan godta, byt ut profilen med ein frå ein kjelde som kan haldast ansvarleg. På ei styrt arbeidstilkopling bør administratoren godkjenne klienten og konfigurasjonen som éi avgjerd, ikkje to. Ingenting her krev at du først provar vondskap; å nekte tilgang er eit legitimt svar.