Nedôveryhodná VPN sú tri oddelené hranice, nie jedna

„Neverím tejto VPN“ sú zvyčajne tri tvrdenia oblečené do jednej vety. Vzdialení partneri v tejto sieti môžu dosiahnuť služby na vašom hostiteľovi, operátor prevádzkujúci tunel môže pozorovať prevádzku, ktorá ním prechádza, a klientsky softvér, ktorý ste nainštalovali, môže meniť sieťovú politiku vášho stroja. Presvedčenie, ktoré stojí za opravu, je, že pravidlo firewallu, virtuálny stroj alebo starostlivý výber operačného systému odpovedá na všetky tri. Každé opatrenie odpovedá presne na jedno z nich.

Mýtus: jedna kontrola pokrýva celé riziko

Bežný predpoklad je, že pripojenie k nedôveryhodnej sieti je jediné rozhodnutie s jediným zmiernením. Ľudia si zvolia kontrolu, ktorej už dôverujú, použijú ju a považujú riziko za vybavené: firewall je zapnutý, pracovný priestor je jednorazový, klient pochádza od váženého dodávateľa.

Tieto kontroly sa neprekrývajú tak, ako predpoklad naznačuje. Firewall na hostiteľovi obmedzuje, kam sa vzdialený partner dostane, a nič nerobí proti operátorovi, ktorý ukončuje váš TLS. Virtuálny stroj oddeľuje pracovný priestor od súborov hostiteľa a nič nerobí proti klientskej komponente, ktorej je dovolené prekonfigurovať sieťový zásobník pod oboma. Pomenovať hranicu, ktorú každá kontrola skutočne vytvára, je celé to cvičenie.

Ich oddelenie vám tiež hovorí, ktoré riziko ste sa rozhodli prijať. Väčšina skutočných rozhodnutí zmierňuje jednu hranicu a znáša inú, čo je v poriadku, kým záznam o zmene hovorí, ktorá je ktorá.

Kam sa vzdialený partner skutočne dostane

Začnite s počúvajúcimi službami. Tunelové rozhranie považované za široko dôveryhodné preto, že jeho pakety prišli šifrované, je obvyklá chyba a mení každého miestneho poslucháča na možný cieľ pre kohokoľvek ďalšieho v tejto sieti. Šifrovanie chráni drôt medzi dvoma koncami; nehovorí nič o úmysle partnera na druhej strane.

ss -tulpn
sudo nft list ruleset
ip -br addr

Služby viažte na adresu, ktorú potrebujú, namiesto na každé rozhranie, a povoľte len operácie, ktoré vyžaduje schválená úloha. Preposielanie, mostovanie a proxy aplikácií držte explicitné, pretože dve sieťové pripojenia samy o sebe tranzitnú cestu nevytvárajú, ale pravidlo proxy určite môže.

Schválený jednorazový pracovný priestor znižuje, kam sa vzdialená sieť dostane, ale len keď jeho konfigurácia zdieľania zodpovedá tvrdeniu. Zdieľané priečinky, integrácia schránky, agenti poverení a riadiace kanály všetky prekračujú hranicu, ktorú mal pracovný priestor vytvoriť. Štítok pracovného priestoru nič nedokazuje o tom, ktoré z nich sú otvorené.

Architektúra nulovej dôvery NIST uvádza princíp, ktorý za tým všetkým stojí: samotné sieťové umiestnenie neudeľuje implicitnú dôveru. Overovanie zdrojov má po prijatí tunela stále čo robiť, a rovnako otázka, kto ďalší túto sieť zdieľa.

Čo operátor na ceste vidí

VPN presúva vašu prevádzku na iné miesto na ceste; nepridáva šifrovanie aplikácií. Ak poskytovateľ ukončuje váš TLS, môže čítať to, čo by váš prehliadač inak chránil, a žiadne miestne pravidlo firewallu to nezmení.

Zachovajte bežné overovanie certifikátov pre skutočné miesto určenia a rozumejte ceste prekladača a metadát, pretože dotaz DNS môže odhaliť viac ako užitočné zaťaženie, ktoré mu predchádza. Samotné metadáta, teda ktorých adries ste sa kedy dotkli, často odpovedajú na otázku operátora bez akejkoľvek potreby čítať obsah. Preto sú „prevádzka je šifrovaná“ a „prevádzka je súkromná“ rôzne tvrdenia.

Ak je táto viditeľnosť pre úlohu neprijateľná, odpoveďou je iná schválená architektúra, nie viac miestneho filtrovania. Miestne filtrovanie nemôže odstrániť pozorovateľa z cesty, na ktorej stále sedí.

Čo smie miestny klient meniť

Toto je hranica, ktorú ľudia prehliadajú, a práve ona robí ostatné dve bezvýznamnými. V Linuxe CAP_NET_ADMIN pokrýva konfiguráciu rozhraní, správu firewallu a zmeny trás v rámci svojho sieťového kontextu. Softvér s touto schopnosťou môže prepísať politiku, ktorú ste práve napísali.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Sieťový menný priestor je skutočná hranica pre sieťový stav a slabá pre všetko ostatné: neizoluje systém súborov ani úložisko poverení. Berte ho ako jednu vrstvu, nie ako kontajner pre celý problém.

Získajte klienta a jeho konfiguráciu z udržiavaného zdroja, prejdite oprávnenia, ktoré žiada, a privilegované komponenty držte pod kontrolou správcu. Virtuálny stroj môže byť súčasťou kvalifikovanej hranice hodnotenia bez toho, aby sa stal povolením spúšťať nevysvetlený inštalátor vedľa cenných poverení. Inštalátor beží s akýmikoľvek oprávneniami mu dáte, a tieto oprávnenia sú hranicou.

Zapíšte, ktorú hranicu ste prijali

Uzavrite vetou, ktorá pomenuje štyri veci: dôveryhodný miestny kód, povolený vzdialený prístup, chránené údaje aplikácií a zostávajúci vzťah s operátorom. Tá veta má väčšiu cenu než všeobecné tvrdenie, že VM, operačný systém alebo antivírusový produkt urobili nepriateľskú sieť bezpečnou.

Potom potvrďte, že úzka operácia funguje a požadované odmietnutie stále platí, aj po páde tunela. Hranica, ktorá existuje len kým je tunel hore, nie je hranicou, ktorú ste zdokumentovali.

Žiadny test nepreukáže neprítomnosť všetkých zraniteľností a recenzia tvrdiaca opak preháňa. Poctivý výstup pomenuje zvyškové riziko a človeka, ktorý ho prijal.