Kaj lahko izročen profil VPN spremeni na vaši napravi

Ko odjemalcu izročite profil VPN, mu izročite konfiguracijo, ki jo je napisal nekdo drug in ki jo ta program nato izvaja na vašem računalniku. Njegov uvoz lahko spremeni, kam gre zajeti promet, kateremu partnerju vaša naprava zaupa in v nekaterih formatih tudi, kateri lokalni programi se zaženejo, ko se tunel dvigne. Datoteka ni zaznamek; je majhen program v deklarativnem formatu.

Berite jo tako, kot bi brali lupinsko skripto iz istega vira.

Razlaga jo odjemalec, ne vi

Vsako polje v datoteki je navodilo določenemu odjemalcu. Končna točka in protokol odločata, kam gre tunel, blok za preverjanje pristnosti odloča, katera skrivnost se zahteva, in usmeritve poti odločajo, kaj vstopa vanj. Potrdila ali zasebni ključ so lahko vdelani kot bloki, namesto da bi bili navedeni kot datoteke, zato ena sama besedilna datoteka včasih nosi vse, kar je potrebno, da se nekdo pred prehodom predstavi kot vi. Prav ta lastnost naredi priložnostno souporabo datotek tako nevarno.

Profili OpenVPN lahko nosijo tudi skriptne kavlje, poti do vtičnikov in raven varnosti, ki določa, ali se ti kavlji smejo izvajati. Prav ta kombinacija naredi neznan profil vreden branja vrstico za vrstico namesto dvojnega klika. Odjemalec bo storil natanko to, kar piše v datoteki, in to z vašimi pravicami.

Spremembe usmerjanja so vidne po eni povezavi

Profil polnega tunela namesti poti, ki vse pošiljajo skozi prehod, medtem ko profil razdeljenega tunela pošilja le izbrane predpone. Nekateri profili potisnejo tudi strežnik DNS, kar tiho spremeni, kdo vidi vaša poizvedovanja. Nič od tega ni samo po sebi zlonamerno in nič od tega ni očitno iz imena datoteke.

Primerjajte usmerjevalno tabelo pred prvo povezavo in po njej, pa boste namero videli na prvi pogled. Profil, oglaševan kot dostop do ene notranje aplikacije, ki pa namesti širšo privzeto pot, vam pove nekaj o svojem avtorju.

Pravo težo nosita material zaupanja in kavlji

Profil lahko odjemalcu VPN zagotovi informacije o zaupanju, in paket konfiguracije platforme lahko gre dlje ter namesti potrdilo ali koren v sistemsko shrambo. To so različni obsegi z različnimi posledicami. Primer v obsegu odjemalca vpliva na preverjanje ene aplikacije; primer na ravni sistema vpliva na vse, kar uporablja shrambo zaupanja platforme.

Skriptni kavlji in vtičniki so druga polovica. Navodilo, ki ob povezavi zažene ukaz, ali vtičnik, naložen v proces odjemalca, ima vaše pravice in nič od izolacije odjemalca. Če profil, ki ga niste zahtevali, vsebuje kaj takega, je to vprašanje za osebo, ki ga je poslala.

Nobena od obeh kategorij ni samodejno sovražna. Podjetniške namestitve uporabljajo obe. Bistvo je, da vsaka zahteva razlago, ki jo lahko preverite.

Preverite izvor, nato vnesite skrivnost

Ugotovite, kdo je datoteko izdal, po kanalu, ki mu že zaupate, ne po sporočilu, ki jo je dostavilo. Primerjajte podatke o končni točki in potrdilu z objavljeno dokumentacijo ponudnika. Če je profil prispel nezahtevan, si priskrbite novega neposredno pri ponudniku, namesto da bi popravljali prejeto kopijo. Vprašajte, katero različico odjemalca ponudnik podpira, ker lahko isto datoteko drug odjemalec razlaga drugače.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nikoli ne vstavite gesla v nerazloženo polje, da bi videli, ali deluje, in nikoli ne sprejmite neznane zahteve za pravice samo zato, da bi dokončali uvoz. Uspešna povezava dokazuje, da je končna točka odgovorila, nič več.

Odstranite uvoženo kopijo, ne prenosa

Odjemalci kopirajo profil v svojo shrambo, zato brisanje prenesene datoteke pusti uvoženo povezavo aktivno. Odstranite jo prek vmesnika samega odjemalca in preverite, ali je izginilo tudi vsako potrdilo, dodano med uvozom. Nato potrdite, da so izginile tudi poti, ki jih je namestil.

Če je bilo potrdilo nameščeno na ravni sistema, odstranitev profila ni dovolj. To čiščenje spada k upravljanju zaupanja platforme in vredno ga je opraviti zavestno, namesto da bi upali, da ga bo rešil naslednji zagon.