විශ්වාස නොකළ VPN යනු එකක් නොව තුනක් වෙන් වූ සීමා වේ
දුරස්ත සමානයන්, මාර්ගයේ සිටින ක්‍රියාකරු සහ ඔබේ සත්කාරකයේ ඇති සේවාදායකය යනු වෙනස් තර්ජන තුනකි. ගිනි පවුරේ රීතියක් පිළිතුරු දෙන්නේ එයින් පළමුවැන්නට පමණි.
«මට මේ VPN එක විශ්වාස නැහැ» යනු සාමාන්‍යයෙන් එක් වාක්‍යයක් ඇඳගත් ප්‍රකාශ තුනකි. එම ජාලයේ දුරස්ත සමානයන් ඔබේ සත්කාරකයේ සේවා වෙත ළඟා විය හැකිය, උමඟ ක්‍රියාත්මක කරන ක්‍රියාකරු එය හරහා ගමන් කරන ගමනාගමනය නිරීක්ෂණය කළ හැකිය, සහ ඔබ ස්ථාපනය කළ සේවාදායක මෘදුකාංගය ඔබේ යන්ත්‍රයේ ජාල ප්‍රතිපත්තිය වෙනස් කළ හැකිය. නිවැරදි කළ යුතු විශ්වාසය නම් ගිනි පවුරේ රීතියක්, අතථ්‍ය යන්ත්‍රයක් හෝ සැලකිලිමත් මෙහෙයුම් පද්ධති තේරීමක් තුනටම පිළිතුරු දෙනවා යන්නයි. සෑම පියවරක්ම ඒවායින් හරියටම එකකට පිළිතුරු දෙයි.
මිථ්‍යාව: එක් පාලනයක් මුළු අවදානමම ආවරණය කරයි
සාමාන්‍ය උපකල්පනය නම් විශ්වාස නොකළ ජාලයකට එක්වීම එක් තීරණයක් සහ එක් ලිහිල් කිරීමක් බවයි. මිනිසුන් දැනටමත් විශ්වාස කරන පාලනය තෝරාගෙන එය යොදා අවදානම අවසන් යැයි සලකති: ගිනි පවුර සක්‍රීයයි, කාර්ය අවකාශය එක් වරක් භාවිත කළ හැකිය, සේවාදායකය ගෞරවනීය සැපයුම්කරුවෙකුගෙන් පැමිණ ඇත.
මෙම පාලන උපකල්පනය යෝජනා කරන ආකාරයට එකිනෙක මත නොගැටේ. සත්කාරකයේ ගිනි පවුර දුරස්ත සමානයෙකුට ළඟා විය හැකි දේ සීමා කරයි, සහ ඔබේ TLS අවසන් කරන ක්‍රියාකරුට එරෙහිව කිසිවක් නොකරයි. අතථ්‍ය යන්ත්‍රයක් කාර්ය අවකාශය ඔබේ සත්කාරකයේ ගොනු වලින් වෙන් කරයි, සහ දෙකෙහිම යටින් ඇති ජාල තට්ටුව නැවත වින්‍යාස කිරීමට අවසර ඇති සේවාදායක සංරචකයට එරෙහිව කිසිවක් නොකරයි. සෑම පාලනයක්ම සැබවින්ම සාදන සීමාව නම් කිරීම මුළු ව්‍යායාමයයි.
ඒවා වෙන් කිරීම ඔබ තෝරාගෙන ඇති අවදානම කුමක්ද යන්නද කියයි. බොහෝ සැබෑ තීරණ එක් සීමාවක් ලිහිල් කර අනෙකක් ඉවසයි, වෙනස්කම් වාර්තාව කුමක් කුමක්ද යන්න පවසන තාක් එය සුදුසුය.
දුරස්ත සමානයාට සැබවින්ම ළඟා විය හැක්කේ කුමක්ද
සවන් දෙන සේවාවලින් පටන් ගන්න. පැකට්ටු සංකේතනය කර ආ බැවින් පුළුල් ලෙස විශ්වාස කළ ලෙස සැලකෙන උමං අතුරුමුහුණත සුපුරුදු වැරැද්දයි, සහ එය එම ජාලයේ අනෙක් සෑම කෙනෙකුටම සෑම දේශීය ශ්‍රාවකයෙකුම අපේක්ෂක ඉලක්කයක් බවට පත් කරයි. සංකේතනය දෙකෙහි අන්ත අතර රැහැන ආරක්ෂා කරයි; එය අනෙක් කෙළවරේ සමානයාගේ අභිප්‍රාය ගැන කිසිවක් නොකියයි.
ss -tulpn sudo nft list ruleset ip -br addr
සේවා සෑම අතුරුමුහුණතකටම වෙනුවට ඒවාට අවශ්‍ය ලිපිනයට බැඳ ගන්න, සහ අනුමත කාර්යයට අවශ්‍ය ක්‍රියා පමණක් අවසර දෙන්න. යැවීම, පාලම් කිරීම සහ යෙදුම් ප්‍රතිරූපකය පැහැදිලිව තබන්න, මන්ද ජාල සම්බන්ධතා දෙකක් තමන් විසින්ම සංක්‍රමණ මාර්ගයක් නොසාදයි, නමුත් ප්‍රතිරූපක රීතියක් අනිවාර්යයෙන්ම සාදන්න පුළුවන්.
අනුමත කළ එක් වරක් භාවිත කළ හැකි කාර්ය අවකාශය දුරස්ත ජාලයට ළඟා විය හැකි දේ අඩු කරයි, නමුත් එහි හවුල් වින්‍යාසය ප්‍රකාශයට ගැළපෙන විට පමණි. හවුල් ෆෝල්ඩර, පසුරු පුවරු ඒකාබද්ධතාව, අක්තපත්‍ර නියෝජිතයන් සහ කළමනාකරණ නාලිකා සියල්ල කාර්ය අවකාශය සෑදිය යුතු වූ සීමාව ඉක්මවයි. කාර්ය අවකාශයේ ලේබලය ඒවායින් කුමක් විවෘත ද යන්න ගැන කිසිවක් ඔප්පු නොකරයි.
NIST හි ශුන්‍ය විශ්වාස ගෘහ නිර්මාණය මේ සියල්ල පිටුපස ඇති මූලධර්මය ප්‍රකාශ කරයි: ජාල ස්ථානය පමණක්ම ව්‍යංග්‍ය විශ්වාසයක් ලබා නොදෙයි. උමඟ ඇතුළත් කළ පසුවත් සම්පත් සත්‍යාපනයට වැඩක් ඇත, එම ජාලය තවත් කවුරුන් හවුල් කරයි ද යන ප්‍රශ්නයටද.
මාර්ගයේ සිටින ක්‍රියාකරුට දැකිය හැක්කේ කුමක්ද
VPN ඔබේ ගමනාගමනය මාර්ගයේ වෙනත් තැනකට ගෙන යයි; එය යෙදුම් සංකේතනය එකතු නොකරයි. සැපයුම්කරු ඔබේ TLS අවසන් කරන්නේ නම්, ඔබේ බ්‍රව්සරය වෙනත් ආකාරයකින් ආරක්ෂා කරන්නට යෙදුණු දේ සැපයුම්කරුට කියවිය හැකිය, සහ කිසිදු දේශීය ගිනි පවුර් රීතියක් එය වෙනස් නොකරයි.
සැබෑ ගමනාන්තය සඳහා සාමාන්‍ය සහතික සත්‍යාපනය තබන්න සහ විසඳුම්කරු සහ පාරදත්ත මාර්ගය තේරුම් ගන්න, මන්ද DNS විමසුමක් එයට පෙර යන ගෙවුමට වඩා වැඩි දෙයක් හෙළිදරව් කළ හැකිය. පාරදත්ත පමණක්, එනම් ඔබ කවර ලිපිනයක් සමඟ කවදා සම්බන්ධ වුණාද යන්න, බොහෝ විට අන්තර්ගතය කියවීමේ අවශ්‍යතාවකින් තොරව ක්‍රියාකරුගේ ප්‍රශ්නයට පිළිතුරු දෙයි. එබැවින් «ගමනාගමනය සංකේතනය කර ඇත» සහ «ගමනාගමනය පෞද්ගලිකයි» වෙනස් ප්‍රකාශ වේ.
එම දෘශ්‍යතාව කාර්යයට පිළිගත නොහැකි නම්, පිළිතුර තවත් දේශීය පෙරහන නොව වෙනත් අනුමත ගෘහ නිර්මාණයකි. දේශීය පෙරහන තවමත් වාඩි වී සිටින මාර්ගයකින් නිරීක්ෂකයෙකු ඉවත් කළ නොහැක.
දේශීය සේවාදායකයට වෙනස් කළ හැක්කේ කුමක්ද
මිනිසුන්ට අහිමි වන සීමාව මෙයයි, අනෙක් දෙක අර්ථ විරහිත කරන්නේද මෙයයි. ලිනක්ස් හි CAP_NET_ADMIN එහි ජාල සන්දර්භය තුළ අතුරුමුහුණත වින්‍යාසය, ගිනි පවුර් පරිපාලනය සහ මාර්ග වෙනස්කම් ආවරණය කරයි. එම හැකියාව ඇති මෘදුකාංගය ඔබ දැන් ලියූ ප්‍රතිපත්තිය නැවත ලිවිය හැකිය.
getcap /usr/sbin/openvpn systemd-analyze security vpn-client.service ip netns list
ජාල නාම අවකාශය ජාල තත්ත්වය සඳහා සැබෑ සීමාවක් සහ අනෙක් සියල්ලට දුර්වල එකක් වේ: එය ගොනු පද්ධතිය හෝ අක්තපත්‍ර ගබඩාව හුදකලා නොකරයි. එය මුළු ගැටලුවේ බහාලුමක් ලෙස නොව එක් ස්ථරයක් ලෙස සලකන්න.
සේවාදායකය සහ එහි වින්‍යාසය නඩත්තු කරන ලද මූලාශ්‍රයකින් ලබා ගන්න, එය ඉල්ලන අධිකාරිය සමාලෝචනය කරන්න, සහ වරප්‍රසාද ඇති සංරචක පරිපාලක පාලනය යටතේ තබන්න. අතථ්‍ය යන්ත්‍රයක් අගනා අක්තපත්‍ර අසල පැහැදිලි නොකළ ස්ථාපකයක් ධාවනය කිරීමේ අවසරයක් නොවී සුදුසුකම් ලත් ඇගයීම් සීමාවක කොටසක් විය හැකිය. ස්ථාපකය ඔබ දෙන ඕනෑම අධිකාරියකින් ධාවනය වේ, සහ එම අධිකාරිය සීමාවයි.
ඔබ පිළිගත් සීමාව ලියන්න
කරුණු හතරක් නම් කරන වාක්‍යයකින් අවසන් කරන්න: විශ්වාස කළ දේශීය කේතය, අවසර දුන් දුරස්ත ප්‍රවේශය, ආරක්ෂිත යෙදුම් දත්ත සහ ඉතිරි වන ක්‍රියාකරු සම්බන්ධතාව. එම වාක්‍යය VM, මෙහෙයුම් පද්ධතියක් හෝ ප්‍රතිවෛරස නිෂ්පාදනයක් සතුරු ජාලයක් ආරක්ෂිත කළා යන සාමාන්‍ය ප්‍රකාශයට වඩා වටිනවා.
පසුව පටු ක්‍රියාව ක්‍රියා කරන බවත් ඉල්ලා ඇති ප්‍රතික්ෂේපය තවමත් පවතින බවත් තහවුරු කරන්න, උමඟ වැටුණු පසුවත්. උමඟ ඉහළ ඇති විට පමණක් පවතින සීමාව ඔබ ලේඛනගත කළ සීමාව නොවේ.
කිසිදු පරීක්ෂණයක් සෑම දුර්වලතාවක්ම නොමැති බව ඔප්පු නොකරයි, සහ එසේ නොවන බව පවසන සමාලෝචනය අතිශයෝක්තියකි. අවංක ප්‍රතිදානය ඉතිරි අවදානම සහ එය පිළිගත් පුද්ගලයා නම් කරයි.