Čo môže prenesený profil VPN zmeniť vo vašom zariadení

Odovzdať svojmu klientovi profil VPN znamená odovzdať mu konfiguráciu napísanú niekým iným, ktorú potom tento program vykonáva na vašom počítači. Jej import môže zmeniť, kam prúdi pokrytá prevádzka, ktorému partnerovi vaše zariadenie dôveruje a v niektorých formátoch aj to, ktoré lokálne programy sa spustia pri nadviazaní tunela. Súbor nie je záložka; je to malý program v deklaratívnom formáte.

Čítajte ho tak, ako by ste čítali skript príkazového riadka z toho istého zdroja.

Vykladá ho klient, nie vy

Každé pole v súbore je pokyn pre konkrétneho klienta. Koncový bod a protokol určujú, kam tunel vedie, blok overovania určuje, aké tajomstvo sa vyžaduje, a direktívy trás určujú, čo doň vstúpi. Certifikáty alebo súkromný kľúč môžu byť vložené ako bloky namiesto odkazov na súbory, a preto jeden textový súbor niekedy nesie všetko, čo treba na to, aby sa niekto vydával za vás voči bráne. Práve táto vlastnosť robí bežné zdieľanie súborov takým nebezpečným.

Profily OpenVPN môžu tiež niesť skriptové háky, cesty k zásuvným modulom a úroveň zabezpečenia, ktorá určuje, či sa tieto háky smú spúšťať. Práve táto kombinácia robí z neznámeho profilu niečo, čo stojí za čítanie riadok po riadku namiesto dvojkliku. Klient urobí presne to, čo hovorí súbor, a urobí to s vašimi oprávneniami.

Zmeny smerovania sú viditeľné po jednom pripojení

Profil plného tunela inštaluje trasy, ktoré posielajú všetko cez bránu, zatiaľ čo profil rozdeleného tunela posiela len vybrané prefixy. Niektoré profily tiež pretláčajú server DNS, čo potichu mení, kto vidí vaše dopyty. Nič z toho nie je samo o sebe zlomyseľné a nič z toho nie je z názvu súboru zrejmé.

Porovnajte smerovaciu tabuľku pred prvým pripojením a po ňom a zámer uvidíte na prvý pohľad. Profil inzerovaný ako prístup k jednej internej aplikácii, ktorý však inštaluje širšiu predvolenú trasu, vám o svojom autorovi niečo hovorí.

Skutočnú váhu nesú materiál dôvery a háky

Profil môže klientovi VPN poskytnúť informácie o dôvere a konfiguračný balík platformy môže ísť ďalej a nainštalovať certifikát alebo koreň do systémového úložiska. To sú rôzne rozsahy s rôznymi dôsledkami. Prípad v rozsahu klienta ovplyvňuje overovanie jednej aplikácie; prípad v systémovom rozsahu ovplyvňuje všetko, čo používa úložisko dôvery platformy.

Skriptové háky a zásuvné moduly sú druhá polovica. Direktíva, ktorá pri pripojení spustí príkaz, alebo modul načítaný do procesu klienta, má vaše oprávnenia a nič z izolácie klienta. Ak profil, ktorý ste si nevyžiadali, niečo také obsahuje, je to otázka na človeka, ktorý vám ho poslal.

Ani jedna z oboch kategórií nie je automaticky nepriateľská. Firemné nasadenia používajú obe. Podstatné je, že každá vyžaduje vysvetlenie, ktoré môžete overiť.

Overte pôvod, potom zadajte tajomstvo

Zistite, kto súbor vydal, kanálom, ktorému už dôverujete, nie cez správu, ktorá ho doručila. Porovnajte údaje o koncovom bode a certifikáte so zverejnenou dokumentáciou prevádzkovateľa. Ak profil dorazil nevyžiadaný, získajte nový priamo od prevádzkovateľa, namiesto toho, aby ste opravovali kópiu, ktorú ste dostali. Spýtajte sa, ktorú verziu klienta prevádzkovateľ podporuje, pretože ten istý súbor môže iný klient vyložiť odlišne.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nikdy nevkladajte heslo do nevysvetleného poľa, aby ste zistili, či funguje, a nikdy neprijmite neznámu žiadosť o oprávnenia len preto, aby ste dokončili import. Úspešné pripojenie dokazuje, že koncový bod odpovedal, nič viac.

Odstráňte importovanú kópiu, nie stiahnutý súbor

Klienti kopírujú profil do vlastného úložiska, takže zmazanie stiahnutého súboru ponecháva importované pripojenie aktívne. Odstráňte ho cez vlastné rozhranie klienta a skontrolujte, či zmizol aj každý certifikát pridaný počas importu. Potom potvrďte, že zmizli aj trasy, ktoré nainštaloval.

Ak bol certifikát nainštalovaný v systémovom rozsahu, odstránenie profilu nestačí. Toto čistenie patrí k správe dôvery platformy a stojí za to ho urobiť vedome, namiesto spoliehania sa, že ho vyrieši najbližší reštart.