Një VPN e pabesueshme janë tre kufij të veçantë, jo një

„Nuk i besoj këtij VPN“ janë zakonisht tre deklarata të veshura në një fjali. Palët e largëta në atë rrjet mund të arrijnë shërbime në hostin tuaj, operatori që drejton tunelin mund të vëzhgojë trafikun që kalon nëpër të, dhe softueri klient që instaloni mund të ndryshojë politikën e rrjetit të makinës tuaj. Bindja që meriton korrigjim është se një rregull muri zjarri, një makinë virtuale ose një zgjedhje e kujdesshme e sistemit operativ u përgjigjen të treve. Çdo masë i përgjigjet saktësisht njërit prej tyre.

Miti: një kontroll mbulon të gjithë rrezikun

Supozimi i zakonshëm është se bashkimi me një rrjet të pabesueshëm është një vendim i vetëm me një zbutje të vetme. Njerëzit zgjedhin kontrollin të cilit tashmë i besojnë, e zbatojnë atë dhe e konsiderojnë rrezikun të mbyllur: muri i zjarrit është i ndezur, hapësira e punës është e njëpërdorshme, klienti vjen nga një furnizues me reputacion.

Këto kontrolle nuk mbivendosen ashtu siç sugjeron supozimi. Një mur zjarri në host kufizon se ku mund të arrijë një palë e largët, dhe nuk bën asgjë kundër një operatori që përfundon TLS-in tuaj. Një makinë virtuale ndan një hapësirë pune nga skedarët e hostit tuaj, dhe nuk bën asgjë kundër një komponenti klient që lejohet të rikonfigurojë stivin e rrjetit nën të dyja. Të emërtosh kufirin që çdo kontroll krijon në të vërtetë është i gjithë ushtrimi.

Ndarja e tyre ju tregon gjithashtu cilin rrezik keni zgjedhur të pranoni. Shumica e vendimeve reale zbusin një kufi dhe tolerojnë një tjetër, gjë që është në rregull përderisa regjistri i ndryshimit thotë cili është cili.

Ku mund të arrijë vërtet pala e largët

Filloni me shërbimet që dëgjojnë. Ndërfaqja e tunelit e trajtuar si gjerësisht e besuar sepse paketat e tij mbërritën të kriptuara është gabimi i zakonshëm, dhe ajo e kthen çdo dëgjues lokal në një objektiv të mundshëm për këdo tjetër në atë rrjet. Kriptimi mbron telin midis dy skajeve; nuk thotë asgjë për qëllimin e palës në anën tjetër.

ss -tulpn
sudo nft list ruleset
ip -br addr

Lidhni shërbimet me adresën që u nevojitet në vend të çdo ndërfaqeje, dhe lejoni vetëm operacionet që kërkon detyra e miratuar. Mbani eksplicite përcjelljen, urëzimin dhe përfaqësimin e aplikacioneve, sepse dy lidhje rrjeti nuk krijojnë vetë një rrugë tranziti, por një rregull përfaqësuesi sigurisht mundet.

Një hapësirë pune e njëpërdorshme e miratuar zvogëlon se ku mund të arrijë rrjeti i largët, por vetëm kur konfigurimi i saj i ndarjes përputhet me pohimin. Dosjet e ndara, integrimi i clipboard-it, agjentët e kredencialeve dhe kanalet e menaxhimit të gjithë kalojnë kufirin që hapësira e punës duhej të krijonte. Etiketa e hapësirës së punës nuk provon asgjë për atë se cilat prej tyre janë të hapura.

Arkitektura e besimit zero e NIST shpreh parimin pas gjithë kësaj: vetëm vendndodhja në rrjet nuk jep besim të nënkuptuar. Autentikimi i burimeve ka ende punë pasi tuneli pranohet, dhe po ashtu pyetja se kush tjetër e ndan atë rrjet.

Çfarë mund të shohë operatori në rrugë

Një VPN e zhvendos trafikun tuaj në një vend tjetër të rrugës; nuk shton kriptim aplikacioni. Nëse ofruesi përfundon TLS-in tuaj, ofruesi mund të lexojë atë që shfletuesi juaj do të kishte mbrojtur ndryshe, dhe asnjë rregull muri zjarri lokal nuk e ndryshon këtë.

Mbani validimin normal të certifikatave për destinacionin real dhe kuptoni rrugën e zgjidhësit dhe të metadatave, sepse një pyetje DNS mund të zbulojë më shumë se ngarkesa që i paraprin. Vetëm metadata, domethënë cilat adresa kontaktuat dhe kur, shpesh i përgjigjen pyetjes së operatorit pa asnjë nevojë për të lexuar përmbajtjen. Kjo është arsyeja pse «trafiku është i kriptuar» dhe «trafiku është privat» janë pohime të ndryshme.

Nëse ajo dukshmëri është e papranueshme për detyrën, përgjigja është një arkitekturë tjetër e miratuar, jo më shumë filtrim lokal. Filtrimi lokal nuk mund të heqë një vëzhgues nga një rrugë ku ai ende ndodhet.

Çfarë mund të ndryshojë klienti lokal

Ky është kufiri që njerëzit humbin, dhe është ai që i bën të tjerët dy të parëndësishëm. Në Linux, CAP_NET_ADMIN mbulon konfigurimin e ndërfaqeve, administrimin e murit të zjarrit dhe ndryshimet e rrugëve brenda kontekstit të tij të rrjetit. Softueri që e zotëron këtë aftësi mund të rishkruajë politikën që sapo shkruat.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Një hapësirë emrash rrjeti është një kufi i vërtetë për gjendjen e rrjetit dhe një i dobët për gjithçka tjetër: nuk izolon sistemin e skedarëve apo depon e kredencialeve. Trajtojeni si një shtresë dhe jo si një kontejner për të gjithë problemin.

Siguroni klientin dhe konfigurimin e tij nga një burim i mirëmbajtur, rishikoni autoritetin që kërkon dhe mbani komponentët e privilegjuar nën kontrollin e administratorit. Një makinë virtuale mund të jetë pjesë e një kufiri të kualifikuar vlerësimi pa u bërë leje për të ekzekutuar një instalues të pashpjeguar pranë kredencialeve të vlefshme. Instaluesi ekzekutohet me çfarëdo autoriteti që i jepni, dhe ai autoritet është kufiri.

Shkruani cilin kufi pranuat

Përfundoni me një fjali që emërton katër gjëra: kodin lokal të besuar, aksesin e largët të lejuar, të dhënat e aplikacionit të mbrojtura dhe marrëdhënien me operatorin që mbetet. Ajo fjali vlen më shumë se një pohim i përgjithshëm se një VM, një sistem operativ ose një produkt antivirus e bënë të sigurt një rrjet armiqësor.

Pastaj konfirmoni se operacioni i ngushtë funksionon dhe mohimi i kërkuar vazhdon të qëndrojë, edhe pasi tuneli bie. Një kufi që ekziston vetëm sa kohë tuneli është lart nuk është kufiri që dokumentuat.

Asnjë test nuk provon se çdo dobësi mungon, dhe një rishikim që pohon të kundërtën e tepron. Rezultati i sinqertë emërton rrezikun e mbetur dhe personin që e pranoi.