Neznáme súbory OVPN: miestne riziko a vzdialená dôvera

Berte súbor OVPN ako vstup pre program, nie ako potvrdenie, že jeho obsah je neškodný. Kontrola adresy servera odpovedá len na to, kam sa profil chce pripojiť, a na nič iné. V tom súbore sú dve oddelené rozhodnutia o dôvere: čo smie klient robiť na vašom počítači a ktorý operátor dostáva prevádzku. Známe meno protokolu nevyrieši ani jedno.

V jednom súbore sa skrývajú dve rozhodnutia

Prvé rozhodnutie je miestne. Profil je konfiguračný jazyk a klient, ktorý ho číta, môže podporovať direktívy, ktoré načítavajú zásuvný modul, spúšťajú skript alebo menia spôsob uplatnenia smerovania a DNS. Druhé rozhodnutie je vzdialené. Nech súbor obsahuje čokoľvek, výstupný operátor vidí prevádzku, ktorá k nemu dorazí.

Zámena oboch vedie k zlej rade v oboch smeroch: čisto vyzerajúci profil od neznámeho operátora, alebo profil známeho operátora s hákom, ktorý nikto nečítal. Profil, ktorý je miestne bezpečný, môže stále odovzdať vašu prevádzku niekomu, koho by ste si nevybrali.

Prečítajte si profil skôr, než to urobí akýkoľvek klient

Prečítajte súbor ako text, než ho akýkoľvek klient spracuje. Hľadajte direktívy, ktoré odkazujú mimo súboru, spomínajú spustiteľné súbory alebo menia oprávnenia, a porovnajte tento zoznam s dokumentovanou podporou klienta. Krátke hľadanie nie je bezpečnostný audit, ale povie vám, či je profil zoznamom serverov alebo niečím viac.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Prázdny výsledok je upokojujúci a nie je priebežný, pretože možnosti môžu spolupôsobiť alebo prichádzať z vloženého súboru. Berte filtrovaný zoznam ako dôvod čítať ďalej, nie ako verdikt.

Pokyny, ktoré prichádzajú spolu s profilom, si zaslúžia rovnakú pozornosť ako profil. Štyri žiadosti by vás mali zastaviť: povolenie skriptov, inštalácia pomocníka alebo knižnice, spustenie klienta ako správcu alebo oslabenie obmedzenia importu. Každá z nich posúva hranicu dôvery von a žiadna nie je bežnou súčasťou importu zoznamu serverov.

Prečítajte si aj celý súbor naraz, pretože jediný neznámy riadok sa v kontexte posudzuje ľahšie ako vo filtrovanom zozname. Ak je riadok neznámy, vyhľadajte ho v manuáli pre svojho klienta, namiesto aby ste hádali.

Čo klient skutočne vykoná

Manuál 2.6 Community OpenVPN dokumentuje stupne script-security: úroveň 1 je predvolená a blokuje používateľom definované skripty, zatiaľ čo úroveň 2 ich povoľuje. Načítavanie zásuvných modulov je samostatný mechanizmus s vlastnou direktívou. Preto môže ten istý súbor znamenať v rôznych klientoch rôzne veci. Mobilní klienti a klienti výrobcov môžu prijať užší súbor direktív, alebo žiadny z hákov.

Spôsob spustenia je rovnako dôležitý ako klient. Profil spustený privilegovaným pomocníkom môže urobiť viac ako ten spustený v používateľskom priestore, a ten rozdiel je dôvod prečítať výzvu na import, namiesto aby ste ju odbili.

Aj verzia je dôležitá, pretože tieto úrovne sa definujú pre každé vydanie a klient niekoľko verzií pozadu nemusí implementovať rovnakú politiku. Čítajte manuál, ktorý zodpovedá zostaveniu, ktoré používate, nie najnovší, ktorý nájdete. Ak klient nikde neukazuje reťazec verzie, je to už dôvod spomaliť.

Porovnajte operátora, nielen adresu

Operátorov porovnávajte tak, ako porovnávate akéhokoľvek iného sprostredkovateľa. Pýtajte sa, kto prevádzkuje výstup, čo zaznamenávajú a ako sa profil dostal k vám. Overená stránka na stiahnutie a zodpovedajúci odtlačok prsta povedia viac ako známe meno hostiteľa. Dostupný server dokazuje len to, že niečo odpovedalo.

Prihlasovacie údaje sú časť, v ktorej ľudia pod tlakom chybujú. Nezadávajte heslo nesúvisiaceho účtu do stiahnutého profilu len preto, že meno servera vyzerá povedome. Profil môže tiež niesť súkromný kľúč v otvorenej podobe, takže zverejnenie celého súboru vo vlákne s recenziou odovzdá ten kľúč vláknu.

Správne overená relácia HTTPS stále skrýva obsah stránky pred každým, kto len preposiela pakety, takže výstup automaticky nevidí každé heslo. Vidí však, na ktoré stránky sa dostanete, a túto hranicu je lepšie opísať presne než preháňať.

Tam, kde pôvod súboru zostáva nejasný alebo oprávnenie, ktoré žiada, nemá vysvetlenie, ktoré môžete prijať, nahraďte profil profilom zo zdroja, ktorý možno volať na zodpovednosť. V spravovanom pracovnom pripojení by mal administrátor schváliť klienta aj konfiguráciu ako jedno rozhodnutie, nie dve. Nič tu nevyžaduje, aby ste najprv preukázali zlý úmysel; odmietnutie prístupu je legitímna odpoveď.