Skedarë OVPN të panjohur: rrezik lokal dhe besim në distancë

Trajtoni një skedar OVPN si hyrje për një program, jo si certifikatë se përmbajtja e tij është e padëmshme. Kontrolli i adresës së serverit përgjigjet vetëm se ku profili dëshiron të lidhet, dhe asgjë tjetër. Brenda atij skedari janë dy vendime besimi të ndara: çfarë mund të bëjë klienti në makinën tuaj, dhe cili operator merr trafikun. Një emër protokolli i njohur nuk zgjidh asnjërën.

Dy vendime fshihen në një skedar

Vendimi i parë është lokal. Profili është një gjuhë konfigurimi, dhe klienti që e lexon mund të mbështesë direktiva që ngarkojnë një shtojcë, ekzekutojnë një skript ose ndryshojnë mënyrën se si zbatohen rrugëtimi dhe DNS. Vendimi i dytë është në distancë. Çfarëdo që përmban skedari, operatori i daljes sheh trafikun që i vjen.

Ngatërrimi i të dyjave jep këshilla të këqija në të dy drejtimet: një profil me pamje të pastër nga një operator i panjohur, ose profili i një operatori të njohur me një grep që askush nuk e lexoi. Një profil i sigurt lokalisht mund t'ia dorëzojë trafikun tuaj dikujt që nuk do ta zgjidhnit.

Lexoni profilin përpara çdo klienti

Lexoni skedarin si tekst përpara se çdo klient ta përpunojë. Kërkoni direktiva që tregojnë jashtë skedarit, referojnë ekzekutues ose ndryshojnë privilegje, dhe krahasoni atë listë me mbështetjen e dokumentuar të klientit. Një kërkim i shkurtër nuk është auditim sigurie, por ju tregon nëse profili është listë serverësh apo diçka më shumë.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Një rezultat bosh është qetësues dhe jo përfundimtar, sepse opsionet mund të ndërveprojnë ose të vijnë nga një skedar i përfshirë. Trajtojeni listën e filtruar si arsye për të vazhduar leximin, jo si verdikt.

Udhëzimet që vijnë bashkë me profilin meritojnë të njëjtin shqyrtim si profili. Katër kërkesa duhet t'ju ndalin: aktivizimi i skripteve, instalimi i një ndihmësi ose biblioteke, ekzekutimi i klientit si administrator, ose dobësimi i një kufizimi importi. Secila prej tyre e zhvendos kufirin e besimit nga jashtë, dhe asnjëra nuk është pjesë normale e importimit të një liste serverësh.

Lexoni edhe të gjithë skedarin një herë, sepse një rresht i vetëm i panjohur gjykohet më lehtë në kontekst sesa në një listë të filtruar. Nëse një rresht është i panjohur, kërkojeni në manualin e klientit tuaj në vend që të hamendësoni.

Çfarë do të ekzekutojë klienti në të vërtetë

Manuali 2.6 i Community OpenVPN dokumenton shkallët e script-security: niveli 1 është parazgjedhja dhe bllokon skriptet e përcaktuara nga përdoruesi, ndërsa niveli 2 i lejon ato. Ngarkimi i shtojcave është një mekanizëm i veçantë me direktivën e vet. Kjo është arsyeja pse i njëjti skedar mund të thotë gjëra të ndryshme në klientë të ndryshëm. Klientët celularë dhe ata të prodhuesve mund të pranojnë një grup më të ngushtë direktivash, ose asnjë nga grepat.

Mënyra e nisjes ka po aq rëndësi sa klienti. Një profil i nisur nga një ndihmës i privilegjuar mund të bëjë më shumë sesa një i nisur në hapësirën e përdoruesit, dhe kjo diferencë është arsye për të lexuar njoftimin e importit në vend që ta hidhni poshtë.

Edhe versioni ka rëndësi, sepse këto nivele përcaktohen për çdo version dhe një klient disa versione pas mund të mos zbatojë të njëjtën politikë. Lexoni manualin që përputhet me ndërtimin që ekzekutoni, jo më të riun që gjeni. Nëse klienti nuk shfaq askund një varg versioni, kjo është tashmë arsye për të ngadalësuar.

Krahasoni operatorin, jo vetëm adresën

Krahasoni operatorët siç krahasoni çdo ndërmjetës tjetër. Pyetni kush e drejton daljen, çfarë regjistrojnë, dhe si arriti profili tek ju. Një faqe shkarkimi e verifikuar dhe një gjurmë gishti që përputhet thonë më shumë se një emër hosti i njohur. Një server i arritshëm provon vetëm se diçka u përgjigj.

Kredencialet janë pjesa ku njerëzit gabojnë nën presion. Mos shkruani fjalëkalimin e një llogarie të palidhur në një profil të shkarkuar sepse emri i serverit duket i njohur. Profili mund të mbajë gjithashtu një çelës privat haptazi, kështu që postimi i të gjithë skedarit në një temë rishikimi ia dorëzon atë çelës temës.

Një sesion HTTPS i vërtetuar si duhet fsheh ende përmbajtjen e faqes nga kushdo që thjesht përcjell paketa, kështu që dalja nuk sheh automatikisht çdo fjalëkalim. Sheh gjithsesi cilat sajte arrini, dhe ky kufi meriton të thuhet me saktësi sesa me ekzagjerim.

Aty ku origjina e skedarit mbetet e paqartë, ose privilegji që kërkon nuk ka një shpjegim që mund ta pranoni, zëvendësoni profilin me një nga një burim që mund të mbahet përgjegjës. Në një lidhje pune të menaxhuar, administratori duhet të miratojë klientin dhe konfigurimin si një vendim të vetëm, jo dy. Asgjë këtu nuk kërkon që së pari të provoni keqdashje; refuzimi i aksesit është një përgjigje legjitime.