Czy VPN w maszynie wirtualnej ukryje ruch przed hostem?

Instalujesz klienta w maszynie wirtualnej, tunel się podnosi, a ruch gościa jest szyfrowany. To coś warte wobec sieci poza maszyną. Wobec systemu operacyjnego, który uruchamia gościa, daje znacznie mniej, bo może on czytać pamięć gościa i obserwować jego ekran. Poniższe kontrole oddzielają to, co chroni tunel, od tego, co zachowuje host.

Host czyta tekst jawny, zanim zrobi to tunel

Hiperwizor desktopowy daje gościowi czas procesora i może czytać pamięć, którą ten zapisuje, w tym stronę, którą przeglądarka właśnie odszyfrowała. Narzędzie monitorujące na hoście czyta ten tekst jawny bez łamania szyfru, a keylogger na tym samym poziomie zbiera naciśnięcia klawiszy, zanim dowolny klient je opakuje. Nic z tego nie wymaga zepsutego VPN, więc czysty tunel może stać obok instrumentowanego hosta.

To, czego ta pozycja nie oddaje, to klucze drugiego końca albo treść, którą inny punkt końcowy chroni od końca do końca. Tunel nadal trzyma się wobec sieci, którą przekracza; luka jest lokalna.

Artefakty żyją dłużej niż sesja

Wstrzymaj gościa VirtualBox, a obok pojawi się plik .sav z zapisanym stanem pamięci. VMware zostawia pliki .vmem i .vmsn podczas wstrzymywania i migawek, a punkty kontrolne Hyper-V powiększają dyski różnicowe .avhdx na woluminie hosta. Żaden z tych plików nie jest szyfrowany przez szyfrowanie dysku gościa. Plik stronicowania hosta może też przyjąć strony wypchnięte przez hiperwizor, ten ślad, przed którym Tails ostrzega w swoim poradniku wirtualizacji. Sprawdź, czy hiperwizor zachowuje migawki i czy swap hosta leży na zaszyfrowanym woluminie.

Ustal regułę przechowywania tych plików, zamiast ufać domyślnemu ustawieniu, które trzyma je do momentu, aż ktoś je usunie. Gość reklamujący sesję amnezyjną niczego tu nie zmienia; plik zapisuje host, więc rządzi jego polityka. Jeśli nie umiesz powiedzieć, gdzie są migawki ani kto może je otworzyć, projekt gościa nie został oceniony.

Szyfrowanie dysku obejmuje węższy przypadek

Szyfrowanie dysku gościa chroni obraz w spoczynku, wolumin przeniesiony na inną maszynę albo kopię zapasową, która wycieknie. Nie robi nic, gdy gość działa, bo hiperwizor czyta pamięć po tym, jak gość ją odszyfruje. Traktuj hasło jako ochronę zapisanych kopii, nie jako tarczę przed maszyną, która wykonuje VM.

Klucze i żywe wykonanie to osobne pytania. W środowisku hostowanym lub współdzielonym dostawca może trzymać klucze obrazu, uruchamiając gościa na sprzęcie, którego nigdy nie sprawdzasz, więc zapisz obie odpowiedzi.

Transport to nie ten sam widok

Ktoś, kto przenosi tunel gościa, widzi zewnętrzne punkty końcowe, czas i wolumen, nawet gdy ładunek pozostaje zamknięty. Metadane tej postaci często odpowiadają na pytanie, które obserwator naprawdę ma, więc traktuj je jako część ekspozycji, a nie szum. Tryb adaptera i trasowanie decydują, czy reguły VPN na poziomie hosta w ogóle dotykają ruchu gościa.

Testuj to od środka gościa, nie z przeglądarki na hoście. Przeglądarka hosta może być osłonięta, gdy gość jest mostkowany prosto na zewnątrz, a oba mogą dzielić połączenie, używając różnych tras. Zapisz tryb adaptera, a potem sprawdź przechwycenie na fizycznym interfejsie hosta, zamiast ufać założeniu.

Zwęź przejścia, a potem zapisz protokół

Uruchamiaj gościa na sprzęcie, który kontrolujesz, trzymaj hiperwizor połatany i włączaj udostępniane foldery, współdzielenie schowka oraz przeciąganie tylko tam, gdzie praca tego wymaga. Każde z nich jest kanałem między hostem a gościem, a dostarczane domyślne ustawienie jest zwykle bardziej otwarte, niż wymaga zadanie. Wyłącz dodatki gościa, których nie używasz, a potem potwierdź, że ustawienia przetrwają restart, bo aktualizacja może przywrócić to, co wyłączyłeś.

Te kroki zwężają przejścia; nie czynią z gościa odrębnej fizycznej granicy zaufania. Traktowanie utwardzonej VM jako takiej granicy to miejsce, w którym oceny ryzyka zwykle się mylą.

W przypadku wrażliwej pracy zapisz, jak trasowany jest ruch i które systemy lokalne uruchamiają i zachowują obciążenie. Dodaj, kto kontroluje hosta i które pliki przetrwają sesję. Notatka o prywatności wymieniająca tylko tunel opisuje połowę układu.