ਅਵਿਸ਼ਵਾਸਯੋਗ VPN ਤਿੰਨ ਵੱਖਰੀਆਂ ਸੀਮਾਵਾਂ ਹੈ, ਇੱਕ ਨਹੀਂ

«ਮੈਂ ਇਸ VPN ਉੱਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰਦਾ» ਆਮ ਤੌਰ ’ਤੇ ਇੱਕ ਹੀ ਵਾਕ ਵਿੱਚ ਪਹਿਨੇ ਤਿੰਨ ਬਿਆਨ ਹਨ। ਉਸ ਨੈੱਟਵਰਕ ਦੇ ਦੂਰ ਦੇ ਸਾਥੀ ਤੁਹਾਡੇ ਹੋਸਟ ਦੀਆਂ ਸੇਵਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦੇ ਹਨ, ਟਨਲ ਚਲਾਉਣ ਵਾਲਾ ਓਪਰੇਟਰ ਉਸ ਵਿੱਚੋਂ ਲੰਘਣ ਵਾਲਾ ਟਰੈਫ਼ਿਕ ਦੇਖ ਸਕਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡੇ ਵੱਲੋਂ ਇੰਸਟਾਲ ਕੀਤਾ ਕਲਾਇੰਟ ਸਾਫ਼ਟਵੇਅਰ ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਦੀ ਨੈੱਟਵਰਕ ਨੀਤੀ ਬਦਲ ਸਕਦਾ ਹੈ। ਸੁਧਾਰਨ ਵਾਲਾ ਵਿਸ਼ਵਾਸ ਇਹ ਹੈ ਕਿ ਫਾਇਰਵਾਲ ਨਿਯਮ, ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਜਾਂ ਸਾਵਧਾਨ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਚੋਣ ਤਿੰਨਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਹਰ ਕਦਮ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਠੀਕ ਇੱਕ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ।

ਮਿੱਥ: ਇੱਕ ਨਿਯੰਤਰਣ ਪੂਰਾ ਖ਼ਤਰਾ ਢਕ ਲੈਂਦਾ ਹੈ

ਆਮ ਧਾਰਨਾ ਇਹ ਹੈ ਕਿ ਅਵਿਸ਼ਵਾਸਯੋਗ ਨੈੱਟਵਰਕ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਣਾ ਇੱਕ ਫੈਸਲਾ ਅਤੇ ਇੱਕ ਹੀ ਕਮੀ ਕਰਨਾ ਹੈ। ਲੋਕ ਉਹ ਨਿਯੰਤਰਣ ਚੁਣਦੇ ਹਨ ਜਿਸ ’ਤੇ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਹੈ, ਲਾਗੂ ਕਰਦੇ ਹਨ ਅਤੇ ਖ਼ਤਰੇ ਨੂੰ ਨਿਪਟਿਆ ਮੰਨਦੇ ਹਨ: ਫਾਇਰਵਾਲ ਚਾਲੂ ਹੈ, ਕਾਰਜ-ਖੇਤਰ ਸੁੱਟਣਯੋਗ ਹੈ, ਕਲਾਇੰਟ ਵੱਕਾਰੀ ਸਪਲਾਇਰ ਤੋਂ ਆਇਆ ਹੈ।

ਇਹ ਨਿਯੰਤਰਣ ਉਸ ਤਰ੍ਹਾਂ ਇੱਕ ਦੂਜੇ ਨੂੰ ਨਹੀਂ ਢਕਦੇ ਜਿਵੇਂ ਧਾਰਨਾ ਸੰਕੇਤ ਕਰਦੀ ਹੈ। ਹੋਸਟ ਫਾਇਰਵਾਲ ਸੀਮਤ ਕਰਦਾ ਹੈ ਕਿ ਦੂਰ ਦਾ ਸਾਥੀ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡੇ TLS ਨੂੰ ਖ਼ਤਮ ਕਰਨ ਵਾਲੇ ਓਪਰੇਟਰ ਵਿਰੁੱਧ ਇਹ ਕੁਝ ਨਹੀਂ ਕਰਦਾ। ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਕਾਰਜ-ਖੇਤਰ ਨੂੰ ਤੁਹਾਡੇ ਹੋਸਟ ਦੀਆਂ ਫਾਈਲਾਂ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ, ਅਤੇ ਦੋਹਾਂ ਦੇ ਹੇਠਾਂ ਵਾਲਾ ਨੈੱਟਵਰਕ ਸਟੈਕ ਮੁੜ ਸੰਰਚਿਤ ਕਰਨ ਦੀ ਆਗਿਆ ਵਾਲੇ ਕਲਾਇੰਟ ਹਿੱਸੇ ਵਿਰੁੱਧ ਇਹ ਕੁਝ ਨਹੀਂ ਕਰਦੀ। ਹਰ ਨਿਯੰਤਰਣ ਅਸਲ ਵਿੱਚ ਜੋ ਸੀਮਾ ਬਣਾਉਂਦਾ ਹੈ ਉਸ ਦਾ ਨਾਮ ਦੇਣਾ ਹੀ ਪੂਰਾ ਅਭਿਆਸ ਹੈ।

ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਕਰਨਾ ਇਹ ਵੀ ਦੱਸਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਖ਼ਤਰਾ ਸਵੀਕਾਰ ਕਰਨਾ ਚੁਣਿਆ ਹੈ। ਜ਼ਿਆਦਾਤਰ ਅਸਲ ਫੈਸਲੇ ਇੱਕ ਸੀਮਾ ਘਟਾਉਂਦੇ ਹਨ ਅਤੇ ਦੂਜੀ ਸਹਿੰਦੇ ਹਨ, ਜੋ ਉਦੋਂ ਤੱਕ ਠੀਕ ਹੈ ਜਦੋਂ ਤੱਕ ਤਬਦੀਲੀ ਦਾ ਰਿਕਾਰਡ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੀ ਕਿਹੜੀ ਹੈ।

ਦੂਰ ਦਾ ਸਾਥੀ ਅਸਲ ਵਿੱਚ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ

ਸੁਣਦੀਆਂ ਸੇਵਾਵਾਂ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ। ਪੈਕੇਟ ਐਨਕ੍ਰਿਪਟ ਹੋ ਕੇ ਆਏ ਹਨ ਇਸ ਲਈ ਜਿਸ ਟਨਲ ਇੰਟਰਫ਼ੇਸ ਨੂੰ ਵਿਆਪਕ ਤੌਰ ’ਤੇ ਭਰੋਸੇਯੋਗ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਉਹੀ ਆਮ ਗਲਤੀ ਹੈ, ਅਤੇ ਇਹ ਉਸ ਨੈੱਟਵਰਕ ’ਤੇ ਹਰ ਕਿਸੇ ਲਈ ਹਰ ਸਥਾਨਕ ਸੁਣਨ ਵਾਲੇ ਨੂੰ ਸੰਭਾਵੀ ਨਿਸ਼ਾਨਾ ਬਣਾ ਦਿੰਦੀ ਹੈ। ਐਨਕ੍ਰਿਪਸ਼ਨ ਦੋ ਸਿਰਿਆਂ ਵਿਚਕਾਰ ਤਾਰ ਦੀ ਰੱਖਿਆ ਕਰਦੀ ਹੈ; ਇਹ ਦੂਜੇ ਸਿਰੇ ਦੇ ਸਾਥੀ ਦੇ ਇਰਾਦੇ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੀ।

ss -tulpn
sudo nft list ruleset
ip -br addr

ਸੇਵਾਵਾਂ ਨੂੰ ਹਰ ਇੰਟਰਫ਼ੇਸ ਦੀ ਥਾਂ ਉਸ ਪਤੇ ਨਾਲ ਬੰਨ੍ਹੋ ਜਿਸ ਦੀ ਉਨ੍ਹਾਂ ਨੂੰ ਲੋੜ ਹੈ, ਅਤੇ ਸਿਰਫ਼ ਉਹੀ ਕਾਰਵਾਈਆਂ ਦੀ ਆਗਿਆ ਦਿਓ ਜੋ ਮਨਜ਼ੂਰ ਕੰਮ ਮੰਗਦਾ ਹੈ। ਫਾਰਵਰਡਿੰਗ, ਬ੍ਰਿਜਿੰਗ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਪ੍ਰੌਕਸੀ ਸਪਸ਼ਟ ਰੱਖੋ, ਕਿਉਂਕਿ ਦੋ ਨੈੱਟਵਰਕ ਜੁੜਾਅ ਆਪਣੇ ਆਪ ਲੰਘਣ ਦਾ ਰਾਹ ਨਹੀਂ ਬਣਾਉਂਦੇ, ਪਰ ਪ੍ਰੌਕਸੀ ਨਿਯਮ ਜ਼ਰੂਰ ਬਣਾ ਸਕਦਾ ਹੈ।

ਮਨਜ਼ੂਰ ਸੁੱਟਣਯੋਗ ਕਾਰਜ-ਖੇਤਰ ਇਹ ਘਟਾਉਂਦਾ ਹੈ ਕਿ ਦੂਰ ਦਾ ਨੈੱਟਵਰਕ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ, ਪਰ ਸਿਰਫ਼ ਉਦੋਂ ਜਦੋਂ ਉਸ ਦੀ ਸਾਂਝ ਸੰਰਚਨਾ ਦਾਅਵੇ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ। ਸਾਂਝੇ ਫੋਲਡਰ, ਕਲਿੱਪਬੋਰਡ ਏਕੀਕਰਨ, ਪ੍ਰਮਾਣ ਪੱਤਰ ਏਜੰਟ ਅਤੇ ਪ੍ਰਬੰਧਨ ਚੈਨਲ ਸਾਰੇ ਉਸ ਸੀਮਾ ਨੂੰ ਲੰਘਦੇ ਹਨ ਜੋ ਕਾਰਜ-ਖੇਤਰ ਨੇ ਬਣਾਉਣੀ ਸੀ। ਕਾਰਜ-ਖੇਤਰ ਦਾ ਲੇਬਲ ਇਸ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕਿਹੜੇ ਖੁੱਲ੍ਹੇ ਹਨ।

NIST ਦੀ ਜ਼ੀਰੋ-ਟਰੱਸਟ ਆਰਕੀਟੈਕਚਰ ਇਸ ਸਭ ਪਿੱਛੇ ਦਾ ਸਿਧਾਂਤ ਕਹਿੰਦੀ ਹੈ: ਸਿਰਫ਼ ਨੈੱਟਵਰਕ ਟਿਕਾਣਾ ਲੁਕਵਾਂ ਭਰੋਸਾ ਨਹੀਂ ਦਿੰਦਾ। ਟਨਲ ਮਨਜ਼ੂਰ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵੀ ਸਰੋਤ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਕੰਮ ਬਾਕੀ ਹੈ, ਅਤੇ ਇਹ ਸਵਾਲ ਵੀ ਕਿ ਉਸ ਨੈੱਟਵਰਕ ਨੂੰ ਹੋਰ ਕੌਣ ਸਾਂਝਾ ਕਰਦਾ ਹੈ।

ਪਥ ਵਿੱਚ ਓਪਰੇਟਰ ਕੀ ਦੇਖ ਸਕਦਾ ਹੈ

VPN ਤੁਹਾਡਾ ਟਰੈਫ਼ਿਕ ਪਥ ’ਤੇ ਕਿਸੇ ਹੋਰ ਥਾਂ ਲੈ ਜਾਂਦਾ ਹੈ; ਇਹ ਐਪਲੀਕੇਸ਼ਨ ਐਨਕ੍ਰਿਪਸ਼ਨ ਨਹੀਂ ਜੋੜਦਾ। ਜੇ ਸਪਲਾਇਰ ਤੁਹਾਡਾ TLS ਖ਼ਤਮ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋ ਤੁਹਾਡਾ ਬ੍ਰਾਊਜ਼ਰ ਵਰਨਾ ਬਚਾਉਂਦਾ, ਸਪਲਾਇਰ ਉਹ ਪੜ੍ਹ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਸਥਾਨਕ ਫਾਇਰਵਾਲ ਨਿਯਮ ਇਹ ਨਹੀਂ ਬਦਲਦਾ।

ਅਸਲ ਮੰਜ਼ਿਲ ਲਈ ਆਮ ਸਰਟੀਫ਼ਿਕੇਟ ਜਾਂਚ ਰੱਖੋ ਅਤੇ ਰਿਜ਼ੌਲਵਰ ਤੇ ਮੈਟਾਡੇਟਾ ਪਥ ਨੂੰ ਸਮਝੋ, ਕਿਉਂਕਿ DNS ਪੁੱਛ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਜਾਣ ਵਾਲੇ ਪੇਲੋਡ ਨਾਲੋਂ ਵੱਧ ਖੋਲ੍ਹ ਸਕਦੀ ਹੈ। ਸਿਰਫ਼ ਮੈਟਾਡੇਟਾ, ਭਾਵ ਤੁਸੀਂ ਕਿਹੜੇ ਪਤਿਆਂ ਨਾਲ ਕਦੋਂ ਸੰਪਰਕ ਕੀਤਾ, ਅਕਸਰ ਸਮੱਗਰੀ ਪੜ੍ਹਨ ਦੀ ਕਿਸੇ ਲੋੜ ਤੋਂ ਬਿਨਾਂ ਓਪਰੇਟਰ ਦੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਇਸ ਲਈ «ਟਰੈਫ਼ਿਕ ਐਨਕ੍ਰਿਪਟਿਡ ਹੈ» ਅਤੇ «ਟਰੈਫ਼ਿਕ ਨਿੱਜੀ ਹੈ» ਵੱਖਰੇ ਦਾਅਵੇ ਹਨ।

ਜੇ ਉਹ ਦਿੱਖ ਕੰਮ ਲਈ ਅਸਵੀਕਾਰਯੋਗ ਹੈ, ਤਾਂ ਜਵਾਬ ਹੋਰ ਸਥਾਨਕ ਫਿਲਟਰਿੰਗ ਨਹੀਂ, ਸਗੋਂ ਦੂਜੀ ਮਨਜ਼ੂਰ ਆਰਕੀਟੈਕਚਰ ਹੈ। ਸਥਾਨਕ ਫਿਲਟਰਿੰਗ ਨਿਰੀਖਕ ਨੂੰ ਉਸ ਪਥ ਤੋਂ ਨਹੀਂ ਹਟਾ ਸਕਦੀ ਜਿਸ ’ਤੇ ਉਹ ਅਜੇ ਬੈਠਾ ਹੈ।

ਸਥਾਨਕ ਕਲਾਇੰਟ ਕੀ ਬਦਲ ਸਕਦਾ ਹੈ

ਇਹੀ ਉਹ ਸੀਮਾ ਹੈ ਜੋ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇਹੀ ਬਾਕੀ ਦੋ ਨੂੰ ਨਿਰਰਥਕ ਬਣਾਉਂਦੀ ਹੈ। ਲੀਨਕਸ ਵਿੱਚ CAP_NET_ADMIN ਆਪਣੇ ਨੈੱਟਵਰਕ ਸੰਦਰਭ ਵਿੱਚ ਇੰਟਰਫ਼ੇਸ ਸੰਰਚਨਾ, ਫਾਇਰਵਾਲ ਪ੍ਰਬੰਧਨ ਅਤੇ ਰੂਟ ਤਬਦੀਲੀਆਂ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ। ਉਸ ਸਮਰੱਥਾ ਵਾਲਾ ਸਾਫ਼ਟਵੇਅਰ ਤੁਹਾਡੇ ਵੱਲੋਂ ਹੁਣੇ ਲਿਖੀ ਨੀਤੀ ਮੁੜ ਲਿਖ ਸਕਦਾ ਹੈ।

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

ਨੈੱਟਵਰਕ ਨਾਮ-ਥਾਂ ਨੈੱਟਵਰਕ ਸਥਿਤੀ ਲਈ ਅਸਲ ਸੀਮਾ ਹੈ ਅਤੇ ਬਾਕੀ ਸਭ ਲਈ ਕਮਜ਼ੋਰ: ਇਹ ਫਾਈਲ-ਸਿਸਟਮ ਜਾਂ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਭੰਡਾਰ ਨੂੰ ਵੱਖ ਨਹੀਂ ਕਰਦੀ। ਇਸ ਨੂੰ ਪੂਰੀ ਸਮੱਸਿਆ ਦਾ ਕੰਟੇਨਰ ਨਹੀਂ, ਸਗੋਂ ਇੱਕ ਪਰਤ ਮੰਨੋ।

ਕਲਾਇੰਟ ਅਤੇ ਉਸ ਦੀ ਸੰਰਚਨਾ ਸੰਭਾਲੀ ਹੋਈ ਸਰੋਤ ਤੋਂ ਲਓ, ਉਹ ਜੋ ਅਧਿਕਾਰ ਮੰਗਦਾ ਹੈ ਉਸ ਦੀ ਸਮੀਖਿਆ ਕਰੋ, ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਵਾਲੇ ਹਿੱਸੇ ਪ੍ਰਬੰਧਕ ਦੇ ਨਿਯੰਤਰਣ ਹੇਠ ਰੱਖੋ। ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਕੀਮਤੀ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਦੇ ਕੋਲ ਅਸਪਸ਼ਟ ਇੰਸਟਾਲਰ ਚਲਾਉਣ ਦੀ ਆਗਿਆ ਬਣੇ ਬਿਨਾਂ ਯੋਗ ਮੁਲਾਂਕਣ ਸੀਮਾ ਦਾ ਹਿੱਸਾ ਹੋ ਸਕਦੀ ਹੈ। ਇੰਸਟਾਲਰ ਤੁਸੀਂ ਜੋ ਵੀ ਅਧਿਕਾਰ ਦਿਓ, ਉਸ ਨਾਲ ਚੱਲਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਅਧਿਕਾਰ ਸੀਮਾ ਹੈ।

ਤੁਸੀਂ ਕਿਹੜੀ ਸੀਮਾ ਸਵੀਕਾਰ ਕੀਤੀ, ਲਿਖੋ

ਚਾਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਮ ਲੈਣ ਵਾਲੇ ਵਾਕ ਨਾਲ ਖ਼ਤਮ ਕਰੋ: ਭਰੋਸੇਯੋਗ ਸਥਾਨਕ ਕੋਡ, ਮਨਜ਼ੂਰ ਦੂਰਸਥ ਪਹੁੰਚ, ਸੁਰੱਖਿਅਤ ਐਪਲੀਕੇਸ਼ਨ ਡੇਟਾ ਅਤੇ ਬਚਿਆ ਹੋਇਆ ਓਪਰੇਟਰ ਸੰਬੰਧ। ਉਹ ਵਾਕ ਇਸ ਆਮ ਦਾਅਵੇ ਨਾਲੋਂ ਵੱਧ ਕੀਮਤੀ ਹੈ ਕਿ VM, ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਜਾਂ ਐਂਟੀਵਾਇਰਸ ਉਤਪਾਦ ਨੇ ਦੁਸ਼ਮਣ ਨੈੱਟਵਰਕ ਨੂੰ ਸੁਰੱਖਿਅਤ ਬਣਾਇਆ।

ਫਿਰ ਪੱਕਾ ਕਰੋ ਕਿ ਸੰਕੁਚਿਤ ਕਾਰਵਾਈ ਚੱਲਦੀ ਹੈ ਅਤੇ ਮੰਗਿਆ ਇਨਕਾਰ ਅਜੇ ਵੀ ਟਿਕਦਾ ਹੈ, ਟਨਲ ਡਿੱਗਣ ਤੋਂ ਬਾਅਦ ਵੀ। ਜੋ ਸੀਮਾ ਸਿਰਫ਼ ਉਦੋਂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਟਨਲ ਚੱਲ ਰਿਹਾ ਹੈ, ਉਹ ਤੁਹਾਡੀ ਦਰਜ ਕੀਤੀ ਸੀਮਾ ਨਹੀਂ।

ਕੋਈ ਟੈਸਟ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਹਰ ਕਮਜ਼ੋਰੀ ਗੈਰਹਾਜ਼ਰ ਹੈ, ਅਤੇ ਉਲਟਾ ਦਾਅਵਾ ਕਰਨ ਵਾਲੀ ਸਮੀਖਿਆ ਵਧਾ-ਚੜ੍ਹਾ ਕੇ ਕਹਿੰਦੀ ਹੈ। ਇਮਾਨਦਾਰ ਨਤੀਜਾ ਬਚਿਆ ਖ਼ਤਰਾ ਅਤੇ ਉਸ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੇ ਵਿਅਕਤੀ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ।