Eit ubetrodd VPN er tre atskilde grenser, ikkje éi

«Eg stolar ikkje på denne VPN-en» er vanlegvis tre påstandar kledd i éi setning. Dei fjerne likemennene på det nettet kan nå tenester på verten din, operatøren som driv tunnelen kan observere trafikk som går gjennom han, og klientprogramvara du installerte kan endre nettverkspolicyen på maskinen din. Oppfatninga som er verdt å rette, er at ein brannmurregel, ein virtuell maskin eller eit nøye val av operativsystem svarar på alle tre. Kvart tiltak svarar på nøyaktig eitt av dei.

Myten: éin kontroll dekkjer heile risikoen

Den vanlege antakinga er at det å bli med i eit ubetrodd nettverk er éi avgjerd med éin avbøtande åtgjerd. Folk vel kontrollen dei allereie stolar på, bruker han og reknar risikoen som handtert: brannmuren er på, arbeidsområdet er eingongs, klienten kjem frå ein anerkjend leverandør.

Desse kontrollane overlappar ikkje slik antakinga antyder. Ein vertsbrannmur avgrensar kva ein fjern likemann kan nå, og han gjer ingenting mot ein operatør som avsluttar TLS-en din. Ein virtuell maskin skil eit arbeidsområde frå filene på verten, og han gjer ingenting mot ein klientkomponent som får rekonfigurere nettverksstakken under båe. Å namngje grensa kvar kontroll faktisk skaper, er heile øvinga.

Å skilje dei fortel deg òg kva risiko du har valt å godta. Dei fleste reelle avgjerder avbøter éi grense og toler ei anna, og det er greitt så lenge endringsloggen seier kva som er kva.

Kva den fjerne likemannen faktisk kan nå

Byrj med lyttande tenester. Tunneltilkoplingsgrensesnittet som blir handsama som breitt betrodd fordi pakkane kom krypterte, er den vanlege feilen, og han gjer kvar lokal lyttar til eit mogleg mål for alle andre på det nettet. Kryptering verner leidningen mellom to endepunkt; ho seier ingenting om hensikta til likemannen i andre enden.

ss -tulpn
sudo nft list ruleset
ip -br addr

Bind tenester til adressa dei treng i staden for til kvart grensesnitt, og tillat berre operasjonane den godkjende oppgåva krev. Hald vidaresending, brukopling og applikasjonsproxy eksplisitt, fordi to nettverkstilkoplingar skaper ikkje ein transitveg av seg sjølv, men ein proxyregel kan absolutt gjere det.

Eit godkjent eingongsarbeidsområde reduserer kva det fjerne nettet kan nå, men berre når delingskonfigurasjonen stemmer med påstanden. Delte mapper, utklippstavleintegrasjon, identitetsagentar og administrasjonskanalar kryssar alle grensa arbeidsområdet skulle skape. Eit arbeidsområde-etikett beviser ingenting om kva av dei som er opne.

Nulltillitsarkitekturen til NIST angir prinsippet bak alt dette: nettverksplassering åleine gir ikkje implisitt tillit. Ressursautentisering har framleis ein jobb etter at tunnelen er tillaten, og det har spørsmålet om kven andre som deler det nettet, òg.

Kva operatøren i banen kan sjå

Ein VPN flyttar trafikken din til ein annan stad i banen; han legg ikkje til applikasjonskryptering. Viss leverandøren avsluttar TLS-en din, kan leverandøren lese det nettlesaren din elles ville ha verna, og ingen lokal brannmurregel endrar det.

Hald normal sertifikatvalidering for den verkelege destinasjonen og forstå resolver- og metadatabanen, fordi eit DNS-oppslag kan avsløre meir enn nyttelasta som går føre det. Metadata åleine, altså kva adresser du kontakta og når, svarar ofte på spørsmålet til operatøren utan noko behov for å lese innhald. Derfor er «trafikken er kryptert» og «trafikken er privat» ulike påstandar.

Viss den synlegheita er uakseptabel for oppgåva, er svaret ein annan godkjend arkitektur i staden for meir lokal filtrering. Lokal filtrering kan ikkje fjerne ein observatør frå ein bane han framleis sit på.

Kva den lokale klienten kan endre

Dette er grensa folk overser, og det er ho som gjer dei to andre irrelevante. På Linux dekkjer CAP_NET_ADMIN grensesnittkonfigurasjon, brannmuradministrasjon og ruteendringar i nettverkskonteksten sin. Programvare med den eigenskapen kan skrive om policyen du nettopp skreiv.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Eit nettverksnamnerom er ei reell grense for nettverkstilstand og eit dårleg eit for alt anna: det isolerer ikkje filsystemet eller identitetslageret. Handsame det som eitt lag og ikkje som ein behaldar for heile problemet.

Skaff klienten og konfigurasjonen frå ei vedlikehalden kjelde, gå gjennom myndet han ber om, og hald privilegerte komponentar under administratorkontroll. Ein virtuell maskin kan vere del av ei kvalifisert vurderingsgrense utan å bli løyve til å køyre ein uforklart installatør ved sida av verdifulle identitetar. Installatøren køyrer med kva myndet du enn gir han, og det myndet er grensa.

Skriv ned kva grense du godtok

Avslutt med ei setning som namngir fire ting: den betrodde lokale koden, den tillatne fjern tilgangen, dei verna applikasjonsdataa og operatørforholdet som står att. Den setninga er meir verdt enn ein generell påstand om at ein VM, eit operativsystem eller eit antivirusprodukt har gjort eit fiendtleg nettverk trygt.

Stadfest deretter at den smale operasjonen verkar og at den påkravde avvisinga framleis held, òg etter at tunnelen fell. Ei grense som berre finst medan tunnelen er oppe, er ikkje grensa du dokumenterte.

Ingen test beviser at kvar sårbarheit er fråverande, og ein gjennomgang som påstår det motsette, overdriv. Det ærlege resultatet namngir restrisikoen og personen som godtok han.