Nezaupljiv VPN so tri ločene meje, ne ena

„Temu VPN ne zaupam“ so običajno tri trditve, oblečene v en stavek. Oddaljeni partnerji v tem omrežju lahko dosežejo storitve na vašem gostitelju, operater, ki poganja tunel, lahko opazuje promet, ki gre skozenj, in odjemalska programska oprema, ki ste jo namestili, lahko spremeni omrežno politiko vašega računalnika. Prepričanje, ki si zasluži popravek, je, da pravilo požarnega zidu, navidezni stroj ali skrbna izbira operacijskega sistema odgovorijo na vse tri. Vsak ukrep odgovori natanko na eno od njih.

Mit: ena kontrola pokrije celotno tveganje

Običajna predpostavka je, da je pridružitev nezaupljivemu omrežju ena odločitev z enim ublažitvijo. Ljudje izberejo kontrolo, ki ji že zaupajo, jo uporabijo in menijo, da je tveganje rešeno: požarni zid je vklopljen, delovni prostor je za enkratno uporabo, odjemalec prihaja od uglednega dobavitelja.

Te kontrole se ne prekrivajo tako, kot predpostavka nakazuje. Požarni zid na gostitelju omejuje, do česa lahko doseže oddaljeni partner, in ne naredi ničesar proti operaterju, ki konča vaš TLS. Navidezni stroj loči delovni prostor od datotek gostitelja in ne naredi ničesar proti odjemalski komponenti, ki sme prekonfigurirati omrežni sklad pod obema. Poimenovati mejo, ki jo vsaka kontrola v resnici ustvari, je vsa vaja.

Njuna ločitev vam tudi pove, katero tveganje ste se odločili sprejeti. Večina resničnih odločitev ublaži eno mejo in tolerira drugo, kar je v redu, dokler zapis o spremembi pove, katera je katera.

Do česa lahko oddaljeni partner v resnici doseže

Začnite s storitvami, ki poslušajo. Vmesnik tunela, ki velja za široko zaupanja vrednega, ker so njegovi paketi prispeli šifrirani, je običajna napaka in vsakega lokalnega poslušalca spremeni v možno tarčo za vse druge v tem omrežju. Šifriranje ščiti žico med dvema koncema; ne pove ničesar o nameri partnerja na drugi strani.

ss -tulpn
sudo nft list ruleset
ip -br addr

Vežite storitve na naslov, ki ga potrebujejo, namesto na vsak vmesnik, in dovolite le operacije, ki jih zahteva odobrena naloga. Posredovanje, mostenje in proxy aplikacij naj bodo izrecni, ker dva omrežna priključka sama po sebi ne ustvarita tranzitne poti, pravilo proxy pa zagotovo lahko.

Odobren delovni prostor za enkratno uporabo zmanjša, do česa lahko doseže oddaljeno omrežje, a le ko se njegova konfiguracija deljenja ujema s trditvijo. Deljene mape, integracija odložišča, agenti za poverilnice in upravljalni kanali vsi prečkajo mejo, ki naj bi jo delovni prostor ustvaril. Oznaka delovnega prostora ne dokaže ničesar o tem, katere od njih so odprte.

Arhitektura ničelnega zaupanja NIST navaja načelo, ki stoji za vsem tem: sama omrežna lokacija ne podeli implicitnega zaupanja. Preverjanje pristnosti virov ima še delo po tem, ko je tunel sprejet, prav tako vprašanje, kdo še deli to omrežje.

Kaj lahko vidi operater na poti

VPN premakne vaš promet na drugo mesto na poti; ne doda šifriranja aplikacij. Če ponudnik konča vaš TLS, lahko bere, kar bi vaš brskalnik sicer zaščitil, in nobeno lokalno pravilo požarnega zidu tega ne spremeni.

Ohranite običajno preverjanje potrdil za resnični cilj in razumite pot razreševalnika in metapodatkov, ker lahko poizvedba DNS razkrije več kot obremenitev, ki ji sledi. Sami metapodatki, torej na katere naslove in kdaj ste se obrnili, pogosto odgovorijo na operaterjevo vprašanje brez kakršne koli potrebe po branju vsebine. Zato sta „promet je šifriran“ in „promet je zaseben“ različni trditvi.

Če je ta vidnost za nalogo nesprejemljiva, je odgovor druga odobrena arhitektura, ne več lokalnega filtriranja. Lokalno filtriranje ne more odstraniti opazovalca s poti, na kateri še sedi.

Kaj sme odjemalec spreminjati

To je meja, ki jo ljudje spregledajo, in prav ta naredi drugi dve brezpredmetni. V Linuxu CAP_NET_ADMIN pokriva konfiguracijo vmesnikov, upravljanje požarnega zidu in spremembe poti v svojem omrežnem kontekstu. Programska oprema s to zmožnostjo lahko prepiše politiko, ki ste jo pravkar napisali.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Omrežni imenski prostor je resnična meja za omrežno stanje in slaba za vse drugo: ne izolira datotečnega sistema ali shrambe poverilnic. Obravnavajte ga kot eno plast, ne kot vsebnik za celotno težavo.

Pridobite odjemalca in njegovo konfiguracijo iz vzdrževanega vira, pregledjte pooblastila, ki jih zahteva, in privilegirane komponente držite pod nadzorom skrbnika. Navidezni stroj je lahko del kvalificirane ocenjevalne meje, ne da bi postal dovoljenje za izvajanje nerazloženega namestitvenega programa ob dragocenih poverilnicah. Namestitveni program teče s kakršnim koli pooblastilom, ki mu ga daste, in to pooblastilo je meja.

Zapišite, katero mejo ste sprejeli

Zaključite s stavkom, ki imenuje štiri stvari: zaupanja vreden lokalni kôd, dovoljen oddaljeni dostop, zaščitene podatke aplikacij in preostali odnos z operaterjem. Ta stavek je vreden več kot splošna trditev, da so VM, operacijski sistem ali protivirusni izdelek naredili sovražno omrežje varno.

Nato potrdite, da ozka operacija deluje in da zahtevana zavrnitev še velja, tudi potem ko tunel pade. Meja, ki obstaja le, dokler je tunel pokonci, ni meja, ki ste jo dokumentirali.

Noben test ne dokaže, da vseh ranljivosti ni, in pregled, ki trdi nasprotno, pretirava. Pošten izhod imenuje preostalo tveganje in osebo, ki ga je sprejela.