ਅਣਜਾਣ OVPN ਫਾਈਲਾਂ: ਸਥਾਨਕ ਖ਼ਤਰਾ ਅਤੇ ਦੂਰ ਦਾ ਭਰੋਸਾ

OVPN ਫ਼ਾਈਲ ਨੂੰ ਕਿਸੇ ਪ੍ਰੋਗਰਾਮ ਦਾ ਇਨਪੁਟ ਮੰਨੋ, ਇਹ ਸਰਟੀਫ਼ਿਕੇਟ ਨਹੀਂ ਕਿ ਇਸ ਦੀ ਸਮੱਗਰੀ ਨੁਕਸਾਨ ਰਹਿਤ ਹੈ। ਸਰਵਰ ਦਾ ਪਤਾ ਜਾਂਚਣਾ ਸਿਰਫ਼ ਇਹ ਦੱਸਦਾ ਹੈ ਕਿ ਪ੍ਰੋਫ਼ਾਈਲ ਕਿੱਥੇ ਜੁੜਨਾ ਚਾਹੁੰਦੀ ਹੈ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਉਸ ਫ਼ਾਈਲ ਵਿੱਚ ਭਰੋਸੇ ਦੇ ਦੋ ਵੱਖਰੇ ਫ਼ੈਸਲੇ ਹਨ: ਕਲਾਇੰਟ ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਉੱਤੇ ਕੀ ਕਰ ਸਕਦਾ ਹੈ, ਅਤੇ ਕਿਹੜਾ ਓਪਰੇਟਰ ਟ੍ਰੈਫ਼ਿਕ ਲੈਂਦਾ ਹੈ। ਕੋਈ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਪ੍ਰੋਟੋਕੋਲ ਨਾਮ ਦੋਹਾਂ ਵਿੱਚੋਂ ਕੋਈ ਨਹੀਂ ਤੈਅ ਕਰਦਾ।

ਇੱਕ ਫ਼ਾਈਲ ਵਿੱਚ ਦੋ ਫ਼ੈਸਲੇ ਲੁਕੇ ਹੋਏ ਹਨ

ਪਹਿਲਾ ਫ਼ੈਸਲਾ ਸਥਾਨਕ ਹੈ। ਪ੍ਰੋਫ਼ਾਈਲ ਇੱਕ ਕੌਂਫਿਗਰੇਸ਼ਨ ਭਾਸ਼ਾ ਹੈ, ਅਤੇ ਇਸ ਨੂੰ ਪੜ੍ਹਨ ਵਾਲਾ ਕਲਾਇੰਟ ਪਲੱਗ-ਇਨ ਲੋਡ ਕਰਨ, ਸਕ੍ਰਿਪਟ ਚਲਾਉਣ ਜਾਂ ਇਹ ਬਦਲਣ ਵਾਲੇ ਨਿਰਦੇਸ਼ਾਂ ਦਾ ਸਮਰਥਨ ਕਰ ਸਕਦਾ ਹੈ ਕਿ ਰੂਟਿੰਗ ਅਤੇ DNS ਕਿਵੇਂ ਲਾਗੂ ਹੁੰਦੇ ਹਨ। ਦੂਜਾ ਫ਼ੈਸਲਾ ਦੂਰ ਦਾ ਹੈ। ਫ਼ਾਈਲ ਵਿੱਚ ਜੋ ਵੀ ਹੋਵੇ, ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਓਪਰੇਟਰ ਉਸ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲਾ ਟ੍ਰੈਫ਼ਿਕ ਵੇਖਦਾ ਹੈ।

ਦੋਹਾਂ ਨੂੰ ਮਿਲਾ ਦੇਣਾ ਦੋਵੇਂ ਪਾਸਿਆਂ ਵਿੱਚ ਮਾੜੀ ਸਲਾਹ ਦਿੰਦਾ ਹੈ: ਅਣਜਾਣ ਓਪਰੇਟਰ ਵੱਲੋਂ ਸਾਫ਼ ਦਿਸਦੀ ਪ੍ਰੋਫ਼ਾਈਲ, ਜਾਂ ਕਿਸੇ ਜਾਣੇ-ਪਛਾਣੇ ਓਪਰੇਟਰ ਦੀ ਪ੍ਰੋਫ਼ਾਈਲ ਜਿਸ ਵਿੱਚ ਉਹ ਹੁੱਕ ਹੈ ਜਿਸ ਨੂੰ ਕਿਸੇ ਨੇ ਨਹੀਂ ਪੜ੍ਹਿਆ। ਸਥਾਨਕ ਤੌਰ ’ਤੇ ਸੁਰੱਖਿਅਤ ਪ੍ਰੋਫ਼ਾਈਲ ਵੀ ਤੁਹਾਡਾ ਟ੍ਰੈਫ਼ਿਕ ਉਸ ਵਿਅਕਤੀ ਨੂੰ ਦੇ ਸਕਦੀ ਹੈ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਨਹੀਂ ਚੁਣਦੇ।

ਕਿਸੇ ਵੀ ਕਲਾਇੰਟ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰੋਫ਼ਾਈਲ ਪੜ੍ਹੋ

ਕਿਸੇ ਵੀ ਕਲਾਇੰਟ ਦੇ ਪ੍ਰੋਸੈਸ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਫ਼ਾਈਲ ਨੂੰ ਪਾਠ ਵਜੋਂ ਪੜ੍ਹੋ। ਉਹ ਨਿਰਦੇਸ਼ ਲੱਭੋ ਜੋ ਫ਼ਾਈਲ ਤੋਂ ਬਾਹਰ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ, ਚੱਲਣਯੋਗ ਫ਼ਾਈਲਾਂ ਦਾ ਜ਼ਿਕਰ ਕਰਦੇ ਹਨ ਜਾਂ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਬਦਲਦੇ ਹਨ, ਅਤੇ ਉਸ ਸੂਚੀ ਦੀ ਤੁਲਨਾ ਕਲਾਇੰਟ ਦੇ ਦਸਤਾਵੇਜ਼ੀ ਸਮਰਥਨ ਨਾਲ ਕਰੋ। ਛੋਟੀ ਖੋਜ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਨਹੀਂ ਹੈ, ਪਰ ਇਹ ਦੱਸਦੀ ਹੈ ਕਿ ਪ੍ਰੋਫ਼ਾਈਲ ਸਰਵਰਾਂ ਦੀ ਸੂਚੀ ਹੈ ਜਾਂ ਕੁਝ ਹੋਰ।

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

ਖਾਲੀ ਨਤੀਜਾ ਤਸੱਲੀ ਦਿੰਦਾ ਹੈ ਅਤੇ ਨਿਰਣਾਇਕ ਨਹੀਂ, ਕਿਉਂਕਿ ਵਿਕਲਪ ਇੱਕ-ਦੂਜੇ ’ਤੇ ਅਸਰ ਪਾ ਸਕਦੇ ਹਨ ਜਾਂ ਕਿਸੇ ਸ਼ਾਮਲ ਫ਼ਾਈਲ ਤੋਂ ਆ ਸਕਦੇ ਹਨ। ਛਾਣੀ ਹੋਈ ਸੂਚੀ ਨੂੰ ਅੱਗੇ ਪੜ੍ਹਨ ਦਾ ਕਾਰਨ ਸਮਝੋ, ਫ਼ੈਸਲਾ ਨਹੀਂ।

ਪ੍ਰੋਫ਼ਾਈਲ ਨਾਲ ਆਉਣ ਵਾਲੇ ਨਿਰਦੇਸ਼ ਵੀ ਪ੍ਰੋਫ਼ਾਈਲ ਜਿੰਨੀ ਜਾਂਚ ਦੇ ਹੱਕਦਾਰ ਹਨ। ਚਾਰ ਬੇਨਤੀਆਂ ਤੁਹਾਨੂੰ ਰੋਕਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ: ਸਕ੍ਰਿਪਟ ਸਮਰੱਥ ਕਰਨਾ, ਕੋਈ ਸਹਾਇਕ ਜਾਂ ਲਾਇਬ੍ਰੇਰੀ ਸਥਾਪਿਤ ਕਰਨਾ, ਕਲਾਇੰਟ ਨੂੰ ਪ੍ਰਬੰਧਕ ਵਜੋਂ ਚਲਾਉਣਾ, ਜਾਂ ਆਯਾਤ ਪਾਬੰਦੀ ਕਮਜ਼ੋਰ ਕਰਨਾ। ਹਰ ਇੱਕ ਭਰੋਸੇ ਦੀ ਹੱਦ ਨੂੰ ਬਾਹਰ ਵੱਲ ਧੱਕਦਾ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸਰਵਰ ਸੂਚੀ ਆਯਾਤ ਕਰਨ ਦਾ ਆਮ ਹਿੱਸਾ ਨਹੀਂ।

ਪੂਰੀ ਫ਼ਾਈਲ ਵੀ ਇੱਕ ਵਾਰ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਇੱਕ ਅਣਜਾਣ ਲਾਈਨ ਨੂੰ ਸੰਦਰਭ ਵਿੱਚ ਪਰਖਣਾ ਛਾਣੀ ਸੂਚੀ ਨਾਲੋਂ ਸੌਖਾ ਹੈ। ਜੇ ਲਾਈਨ ਅਣਜਾਣ ਹੈ, ਤਾਂ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਥਾਂ ਆਪਣੇ ਕਲਾਇੰਟ ਦੇ ਮੈਨੂਅਲ ਵਿੱਚ ਲੱਭੋ।

ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਕੀ ਚਲਾਏਗਾ

Community OpenVPN ਦਾ 2.6 ਮੈਨੂਅਲ script-security ਦੇ ਪੱਧਰਾਂ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ: ਪੱਧਰ 1 ਡਿਫ਼ਾਲਟ ਹੈ ਅਤੇ ਵਰਤੋਂਕਾਰ ਵੱਲੋਂ ਪਰਿਭਾਸ਼ਿਤ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪੱਧਰ 2 ਉਹਨਾਂ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦਿੰਦਾ ਹੈ। ਪਲੱਗ-ਇਨ ਲੋਡ ਕਰਨਾ ਆਪਣੇ ਨਿਰਦੇਸ਼ ਵਾਲੀ ਵੱਖਰੀ ਸੁਵਿਧਾ ਹੈ। ਇਸੇ ਲਈ ਇੱਕੋ ਫ਼ਾਈਲ ਵੱਖ-ਵੱਖ ਕਲਾਇੰਟਾਂ ਵਿੱਚ ਵੱਖਰਾ ਅਰਥ ਦੇ ਸਕਦੀ ਹੈ। ਮੋਬਾਇਲ ਅਤੇ ਨਿਰਮਾਤਾ ਕਲਾਇੰਟ ਤੰਗ ਨਿਰਦੇਸ਼ ਸਮੂਹ ਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ, ਜਾਂ ਹੁੱਕਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਨਹੀਂ।

ਸ਼ੁਰੂ ਕਰਨ ਦਾ ਢੰਗ ਕਲਾਇੰਟ ਜਿੰਨਾ ਹੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਲੇ ਸਹਾਇਕ ਵੱਲੋਂ ਸ਼ੁਰੂ ਕੀਤੀ ਪ੍ਰੋਫ਼ਾਈਲ ਵਰਤੋਂਕਾਰ ਥਾਂ ਵਿੱਚ ਸ਼ੁਰੂ ਹੋਣ ਵਾਲੀ ਨਾਲੋਂ ਵੱਧ ਕਰ ਸਕਦੀ ਹੈ, ਅਤੇ ਇਹੀ ਫ਼ਰਕ ਆਯਾਤ ਸੰਕੇਤ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨ ਦੀ ਥਾਂ ਪੜ੍ਹਨ ਦਾ ਕਾਰਨ ਹੈ।

ਸੰਸਕਰਣ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਪੱਧਰ ਹਰ ਰੀਲੀਜ਼ ਲਈ ਪਰਿਭਾਸ਼ਿਤ ਹੁੰਦੇ ਹਨ ਅਤੇ ਕਈ ਸੰਸਕਰਣ ਪਿੱਛੇ ਚੱਲ ਰਿਹਾ ਕਲਾਇੰਟ ਉਹੀ ਨੀਤੀ ਲਾਗੂ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਉਹ ਮੈਨੂਅਲ ਪੜ੍ਹੋ ਜੋ ਤੁਹਾਡੇ ਚਲਾਏ ਜਾ ਰਹੇ ਬਿਲਡ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਸਭ ਤੋਂ ਨਵਾਂ ਨਹੀਂ। ਜੇ ਕਲਾਇੰਟ ਕਿਤੇ ਵੀ ਸੰਸਕਰਣ ਸਤਰ ਨਹੀਂ ਦਿਖਾਉਂਦਾ, ਤਾਂ ਇਹ ਪਹਿਲਾਂ ਹੀ ਹੌਲੀ ਹੋਣ ਦਾ ਕਾਰਨ ਹੈ।

ਓਪਰੇਟਰ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਸਿਰਫ਼ ਪਤੇ ਦੀ ਨਹੀਂ

ਓਪਰੇਟਰਾਂ ਦੀ ਤੁਲਨਾ ਉਵੇਂ ਕਰੋ ਜਿਵੇਂ ਤੁਸੀਂ ਕਿਸੇ ਹੋਰ ਵਿਚੋਲੇ ਦੀ ਕਰਦੇ ਹੋ। ਪੁੱਛੋ ਕਿ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਹਿੱਸਾ ਕੌਣ ਚਲਾਉਂਦਾ ਹੈ, ਕੀ ਲੌਗ ਕਰਦੇ ਹਨ, ਅਤੇ ਪ੍ਰੋਫ਼ਾਈਲ ਤੁਹਾਡੇ ਤੱਕ ਕਿਵੇਂ ਪਹੁੰਚੀ। ਪ੍ਰਮਾਣਿਤ ਡਾਊਨਲੋਡ ਪੰਨਾ ਅਤੇ ਮੇਲ ਖਾਂਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਜਾਣੇ-ਪਛਾਣੇ ਹੋਸਟਨਾਮ ਨਾਲੋਂ ਵੱਧ ਕਹਿੰਦੇ ਹਨ। ਪਹੁੰਚਯੋਗ ਸਰਵਰ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕਿਸੇ ਚੀਜ਼ ਨੇ ਜਵਾਬ ਦਿੱਤਾ।

ਪ੍ਰਮਾਣ-ਪੱਤਰ ਉਹ ਹਿੱਸਾ ਹਨ ਜਿੱਥੇ ਲੋਕ ਦਬਾਅ ਹੇਠ ਗ਼ਲਤੀ ਕਰਦੇ ਹਨ। ਸਰਵਰ ਦਾ ਨਾਮ ਜਾਣਿਆ-ਪਛਾਣਿਆ ਲੱਗਦਾ ਹੈ ਇਸ ਲਈ ਡਾਊਨਲੋਡ ਕੀਤੀ ਪ੍ਰੋਫ਼ਾਈਲ ਵਿੱਚ ਕਿਸੇ ਗੈਰ-ਸੰਬੰਧਿਤ ਖਾਤੇ ਦਾ ਪਾਸਵਰਡ ਨਾ ਲਿਖੋ। ਪ੍ਰੋਫ਼ਾਈਲ ਖੁੱਲ੍ਹੇ ਰੂਪ ਵਿੱਚ ਨਿੱਜੀ ਚਾਬੀ ਵੀ ਰੱਖ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਪੂਰੀ ਫ਼ਾਈਲ ਸਮੀਖਿਆ ਥ੍ਰੈਡ ਵਿੱਚ ਪੋਸਟ ਕਰਨਾ ਉਹ ਚਾਬੀ ਥ੍ਰੈਡ ਨੂੰ ਦੇ ਦਿੰਦਾ ਹੈ।

ਸਹੀ ਢੰਗ ਨਾਲ ਪ੍ਰਮਾਣਿਤ HTTPS ਸੈਸ਼ਨ ਅਜੇ ਵੀ ਸਫ਼ੇ ਦੀ ਸਮੱਗਰੀ ਸਿਰਫ਼ ਪੈਕਟਾਂ ਨੂੰ ਅੱਗੇ ਭੇਜਣ ਵਾਲਿਆਂ ਤੋਂ ਲੁਕਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਹਿੱਸਾ ਹਰ ਪਾਸਵਰਡ ਆਪਣੇ ਆਪ ਨਹੀਂ ਵੇਖਦਾ। ਪਰ ਇਹ ਵੇਖਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀਆਂ ਸਾਈਟਾਂ ਤੱਕ ਪਹੁੰਚਦੇ ਹੋ, ਅਤੇ ਇਹ ਹੱਦ ਵਧਾ-ਚੜ੍ਹਾ ਕੇ ਕਹਿਣ ਦੀ ਥਾਂ ਸਹੀ ਕਹਿਣ ਯੋਗ ਹੈ।

ਜਿੱਥੇ ਫ਼ਾਈਲ ਦਾ ਸਰੋਤ ਅਸਪਸ਼ਟ ਰਹਿੰਦਾ ਹੈ, ਜਾਂ ਇਹ ਜੋ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਮੰਗਦੀ ਹੈ ਉਸ ਦੀ ਅਜਿਹੀ ਕੋਈ ਵਿਆਖਿਆ ਨਹੀਂ ਜੋ ਤੁਸੀਂ ਸਵੀਕਾਰ ਕਰ ਸਕੋ, ਉੱਥੇ ਪ੍ਰੋਫ਼ਾਈਲ ਨੂੰ ਅਜਿਹੇ ਸਰੋਤ ਤੋਂ ਬਦਲੋ ਜਿਸ ਨੂੰ ਜਵਾਬਦੇਹ ਠਹਿਰਾਇਆ ਜਾ ਸਕੇ। ਪ੍ਰਬੰਧਿਤ ਕੰਮ ਕਨੈਕਸ਼ਨ ਉੱਤੇ, ਪ੍ਰਬੰਧਕ ਨੂੰ ਕਲਾਇੰਟ ਅਤੇ ਸੰਰਚਨਾ ਨੂੰ ਦੋ ਨਹੀਂ, ਇੱਕ ਫ਼ੈਸਲੇ ਵਜੋਂ ਮਨਜ਼ੂਰੀ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ। ਇੱਥੇ ਕੁਝ ਵੀ ਪਹਿਲਾਂ ਦੁਰਭਾਵਨਾ ਸਾਬਤ ਕਰਨ ਲਈ ਨਹੀਂ ਕਹਿੰਦਾ; ਪਹੁੰਚ ਤੋਂ ਇਨਕਾਰ ਕਰਨਾ ਜਾਇਜ਼ ਜਵਾਬ ਹੈ।