Непознате OVPN датотеке: локални ризик и поверење на даљину

Третирајте OVPN датотеку као улаз за програм, а не као потврду да је њен садржај безопасан. Провера адресе сервера одговара само на то где профил жели да се повеже, и ни на шта друго. У тој датотеци стоје две одвојене одлуке о поверењу: шта клијент сме да ради на вашем рачунару и који оператер добија саобраћај. Познато име протокола не решава ниједну.

Две одлуке се крију у једној датотеци

Прва одлука је локална. Профил је конфигурациони језик, а клијент који га чита може да подржава директиве које учитавају прикључак, покрећу скрипту или мењају како се примењују рутирање и DNS. Друга одлука је удаљена. Шта год датотека садржи, оператер излаза види саобраћај који до њега стигне.

Мешање тога двоје даје лош савет у оба смера: чист профил од непознатог оператера или профил познатог оператера са куком коју нико није прочитао. Профил који је локално безбедан ипак може да преда ваш саобраћај некоме кога не бисте изабрали.

Прочитајте профил пре него што то учини било који клијент

Прочитајте датотеку као текст пре него што је било који клијент обради. Тражите директиве које показују изван датотеке, позивају се на извршне датотеке или мењају привилегије, и упоредите тај списак са документованом подршком клијента. Кратка претрага није безбедносна провера, али вам каже да ли је профил списак сервера или нешто више.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Празан резултат је охрабрујући и није коначан, јер опције могу да делују заједно или да дођу из укључене датотеке. Гледајте на филтрирани списак као на разлог да наставите да читате, а не као на пресуду.

Упутства која долазе уз профил заслужују исто прегледање као и профил. Четири захтева треба да вас зауставе: укључивање скрипти, инсталирање помоћника или библиотеке, покретање клијента као администратора или слабљење ограничења увоза. Свако од њих помера границу поверења ка споља и ниједно није обичан део увоза списка сервера.

Прочитајте и целу датотеку једанпут, јер је једну непознату линију лакше проценити у контексту него на филтрираном списку. Ако је линија непозната, потражите је у приручнику за ваш клијент уместо да нагађате.

Шта ће клијент заиста извршити

Приручник 2.6 Community OpenVPN-а документује степенице script-security: ниво 1 је подразумевани и блокира скрипте које дефинише корисник, док ниво 2 то дозвољава. Учитавање прикључака је одвојен механизам са својом директивом. Зато иста датотека може да значи различите ствари у различитим клијентима. Мобилни клијенти и клијенти произвођача могу да прихвате ужи скуп директива или ниједну од кука.

Начин покретања је исто толико важан колико и клијент. Профил који покрене привилеговани помоћник може више од оног покренутог у корисничком простору, и та разлика је разлог да прочитате захтев за увоз уместо да га одбаците.

И верзија је важна, јер се ови нивои дефинишу по издању и клијент који заостаје неколико верзија можда не примењује исту политику. Читајте приручник који одговара том издању које покрећете, а не најновији који нађете. Ако клијент нигде не приказује низ верзије, то је већ разлог да успорите.

Упоредите оператера, не само адресу

Упоређујте оператере као што упоређујете било ког другог посредника. Питајте ко управља излазом, шта евидентирају и како је профил стигао до вас. Проверена страница за преузимање и одговарајући отисак прста говоре више од познатог имена домаћина. Доступан сервер доказује само да је нешто одговорило.

Приступни подаци су део у ком људи под притиском греше. Не уносите лозинку неповезаног налога у преузети профил зато што име сервера изгледа познато. Профил може да носи и приватни кључ отворено, тако да објављивање целе датотеке у нити за преглед предаје тај кључ нити.

Правилно валидирана HTTPS сесија и даље скрива садржај странице од свакога ко само прослеђује пакете, тако да излаз не види аутоматски сваку лозинку. Види, међутим, до којих сајтова стижете, и ту границу вреди изрећи тачно, а не преувеличано.

Тамо где порекло датотеке остаје нејасно или привилегија коју тражи нема објашњење које можете да прихватите, замените профил оним из извора који може да се позове на одговорност. На управљаној пословној вези администратор би требало да одобри клијента и конфигурацију као једну одлуку, а не две. Ништа овде не захтева да прво докажете лошу намеру; одбијање приступа је легитиман одговор.