Neznane datoteke OVPN: lokalno tveganje in zaupanje na daljavo

Datoteko OVPN obravnavajte kot vhod za program, ne kot potrdilo, da je njena vsebina neškodljiva. Preverjanje naslova strežnika odgovori le, kam se želi profil povezati, in nič drugega. V tej datoteki sta dve ločeni odločitvi o zaupanju: kaj lahko odjemalec počne v vašem računalniku in kateri operater prejme promet. Znano ime protokola ne razreši nobene.

V eni datoteki se skrivata dve odločitvi

Prva odločitev je lokalna. Profil je konfiguracijski jezik in odjemalec, ki ga bere, lahko podpira direktive, ki naložijo vtičnik, zaženejo skript ali spremenijo, kako se uporabljata usmerjanje in DNS. Druga odločitev je oddaljena. Karkoli datoteka vsebuje, izhodni operater vidi promet, ki pride do njega.

Zamenjava obeh vodi v slab nasvet v obe smeri: čist videz profila od neznanega operaterja ali profil znanega operaterja s kavljem, ki ga ni nihče prebral. Profil, ki je lokalno varen, lahko še vedno izroči vaš promet nekomu, ki ga ne bi izbrali.

Preberite profil, preden to stori katerikoli odjemalec

Datoteko preberite kot besedilo, preden jo katerikoli odjemalec obdela. Poiščite direktive, ki kažejo izven datoteke, se sklicujejo na izvršljive datoteke ali spreminjajo pravice, in ta seznam primerjajte z dokumentirano podporo odjemalca. Kratko iskanje ni varnostna revizija, vendar vam pove, ali je profil seznam strežnikov ali kaj več.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Prazen rezultat je pomirjujoč in ni dokončen, ker lahko možnosti medsebojno vplivajo ali prihajajo iz vključene datoteke. Obravnavajte filtrirani seznam kot razlog za nadaljnje branje, ne kot razsodbo.

Navodila, ki pridejo skupaj s profilom, si zaslužijo enako pozornost kot profil. Štiri zahteve bi vas morale ustaviti: omogočanje skriptov, namestitev pomočnika ali knjižnice, zagon odjemalca kot skrbnika ali oslabitev omejitve uvoza. Vsaka premakne mejo zaupanja navzven in nobena ni običajen del uvoza seznama strežnikov.

Preberite tudi celotno datoteko naenkrat, ker je eno neznano vrstico lažje presoditi v kontekstu kot na filtriranem seznamu. Če je vrstica neznana, jo poiščite v priročniku za svojega odjemalca, namesto da bi ugibali.

Kaj bo odjemalec dejansko izvedel

Priročnik 2.6 Community OpenVPN dokumentira stopnje script-security: raven 1 je privzeta in blokira skripte, ki jih določi uporabnik, medtem ko raven 2 to dovoli. Nalaganje vtičnikov je ločen mehanizem z lastno direktivo. Zato ima lahko ista datoteka v različnih odjemalcih drugačen pomen. Mobilni odjemalci in odjemalci proizvajalcev lahko sprejmejo ožji nabor direktiv ali nobenega od kavljev.

Način zagona je prav tako pomemben kot odjemalec. Profil, ki ga zažene privilegirani pomočnik, lahko naredi več kot tisti, ki se zažene v uporabniškem prostoru, in ta razlika je razlog, da preberete poziv za uvoz, namesto da bi ga odmahnili.

Tudi različica je pomembna, ker so te ravni določene za vsako izdajo in odjemalec nekaj različic zadaj morda ne izvaja iste politike. Berite priročnik, ki ustreza gradnji, ki jo izvajate, ne najnovejšega, ki ga najdete. Če odjemalec nikjer ne prikaže niza različice, je to že razlog, da upočasnite.

Primerjajte operaterja, ne le naslova

Operaterje primerjajte tako, kot primerjate katerega koli drugega posrednika. Vprašajte, kdo upravlja izhod, kaj beležijo in kako je profil prišel do vas. Preverjena stran za prenos in ujemajoči se prstni odtis povesta več kot znano ime gostitelja. Dosegljiv strežnik dokaže le, da je nekaj odgovorilo.

Poverilnice so del, kjer ljudje pod pritiskom delajo napake. Ne vnašajte gesla nepovezanega računa v preneseni profil samo zato, ker je ime strežnika videti znano. Profil lahko nosi tudi zasebni ključ v odprti obliki, zato objava celotne datoteke v niti za pregled izroči ta ključ niti.

Pravilno overjena seja HTTPS še vedno skriva vsebino strani pred vsakim, ki samo posreduje pakete, zato izhod ne vidi samodejno vsakega gesla. Vidi pa, katere strani dosežete, in to mejo je vredno povedati natančno, ne pretirano.

Kjer izvor datoteke ostane nejasen ali zahtevana pravica nima razlage, ki bi jo lahko sprejeli, zamenjajte profil s tistim iz vira, ki ga je mogoče pozvati k odgovornosti. V upravljani poslovni povezavi bi moral skrbnik odobriti odjemalca in konfiguracijo kot eno odločitev, ne dve. Nič tukaj ne zahteva, da najprej dokažete slabo namero; zavrnitev dostopa je legitimen odgovor.