O que um perfil VPN entregue pode mudar no seu dispositivo

Entregar ao seu cliente um perfil VPN é entregar-lhe uma configuração escrita por outra pessoa, que esse programa executa depois na sua máquina. Importá-lo pode mudar para onde vai o tráfego coberto, em que par o seu dispositivo confia e, em alguns formatos, quais programas locais são executados quando o túnel sobe. O ficheiro não é um marcador; é um pequeno programa num formato declarativo.

Leia-o como leria um script de shell da mesma origem.

É o cliente que o interpreta, não você

Cada campo do ficheiro é uma instrução para um cliente específico. O endpoint e o protocolo decidem para onde vai o túnel, o bloco de autenticação decide que segredo é exigido e as diretivas de rota decidem o que entra nele. Certificados ou uma chave privada podem estar incorporados como blocos em vez de referenciados como ficheiros, e é por isso que um único ficheiro de texto às vezes carrega tudo o que é preciso para se fazer passar por você diante de um gateway. É essa propriedade que torna a partilha casual de ficheiros tão perigosa.

Os perfis OpenVPN também podem trazer hooks de script, caminhos de plugins e um nível de segurança que determina se esses hooks podem ser executados. É essa combinação que torna um perfil desconhecido digno de ser lido linha a linha em vez de um duplo clique. O cliente fará exatamente o que o ficheiro diz, e fará isso com os seus privilégios.

As alterações de encaminhamento são visíveis após uma ligação

Um perfil de túnel completo instala rotas que enviam tudo pelo gateway, enquanto um perfil de túnel dividido envia apenas prefixos selecionados. Alguns perfis também empurram um servidor DNS, o que muda silenciosamente quem vê as suas consultas. Nada disso é malicioso por si só, e nada disso é óbvio pelo nome do ficheiro.

Compare a tabela de rotas antes e depois da primeira ligação e verá a intenção num relance. Um perfil anunciado como acesso a uma única aplicação interna mas que instala uma rota predefinida mais abrangente está a dizer-lhe algo sobre o seu autor.

O material de confiança e os hooks é que carregam o peso real

Um perfil pode fornecer informações de confiança ao cliente VPN, e um pacote de configuração de plataforma pode ir mais longe e instalar um certificado ou uma raiz num armazém do sistema. São âmbitos diferentes com consequências diferentes. O caso no âmbito do cliente afeta a validação de uma aplicação; o caso ao nível do sistema afeta tudo o que usa o armazém de confiança da plataforma.

Os hooks de script e os plugins são a outra metade. Uma diretiva que executa um comando ao ligar, ou um plugin carregado no processo do cliente, tem as suas permissões e nada do isolamento do cliente. Se um perfil que não pediu contém um, é uma pergunta para quem o enviou.

Nenhuma das duas categorias é automaticamente hostil. As implementações corporativas usam ambas. O ponto é que cada uma exige uma explicação que você possa verificar.

Verifique a proveniência e só depois introduza o segredo

Estabeleça quem emitiu o ficheiro por um canal em que já confia, não pela mensagem que o entregou. Compare os detalhes do endpoint e do certificado com a documentação publicada pelo operador. Se um perfil chegou sem ter sido pedido, obtenha um novo diretamente do operador em vez de reparar a cópia que lhe deram. Pergunte que versão de cliente o operador suporta, porque o mesmo ficheiro pode ser interpretado de forma diferente por outro cliente.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nunca coloque uma senha num campo não explicado para ver se funciona, e nunca aceite um pedido de privilégios desconhecido só para terminar uma importação. Uma ligação bem-sucedida prova que o endpoint respondeu, e nada mais.

Remova a cópia importada, não a transferência

Os clientes copiam o perfil para o seu próprio armazém, por isso apagar o ficheiro transferido deixa a ligação importada ativa. Remova-a pela interface do próprio cliente e verifique se também desapareceu qualquer certificado adicionado durante a importação. Depois confirme que as rotas que instalou também desapareceram.

Se um certificado foi instalado ao nível do sistema, remover o perfil não basta. Essa limpeza pertence à gestão de confiança da plataforma e vale a pena fazê-la deliberadamente em vez de esperar que o próximo reinício trate disso.