Непоуздан VPN су три одвојене границе, а не једна

„Не верујем овом VPN-у“ обично су три тврдње обучене у једну реченицу. Удаљени партнери на тој мрежи могу достићи услуге на вашем хосту, оператер који води тунел може посматрати саобраћај који кроз њега пролази, а клијентски софтвер који сте инсталирали може мењати мрежну политику вашег рачунара. Уверење које вреди исправити јесте да правило заштитног зида, виртуелна машина или пажљив избор оперативног система одговарају на сва три. Свака мера одговара тачно на једно од њих.

Мит: једна контрола покрива цео ризик

Уобичајена претпоставка јесте да је придруживање непоузданој мрежи једна одлука са једним ублажавањем. Људи бирају контролу којој већ верују, примењују је и сматрају ризик решеним: заштитни зид је укључен, радни простор је једнократан, клијент долази од угледног добављача.

Те контроле се не преклапају онако како претпоставка имплицира. Заштитни зид на хосту ограничава до чега удаљени партнер може доћи и не чини ништа против оператера који прекида ваш TLS. Виртуелна машина одваја радни простор од датотека хоста и не чини ништа против клијентске компоненте којој је дозвољено да преконфигурише мрежни стек испод оба. Именовати границу коју свака контрола заиста ствара јесте цела вежба.

Њихово раздвајање вам такође каже који сте ризик одлучили да прихватите. Већина стварних одлука ублажава једну границу и трпи другу, што је у реду докле год запис о промени каже која је која.

До чега удаљени партнер заиста може доћи

Почните са услугама које слушају. Тунелски интерфејс који се сматра широко поузданим јер су његови пакети стигли шифровани уобичајена је грешка, и она сваког локалног слушаоца претвара у могућу мету за свакога другог на тој мрежи. Шифровање штити жицу између две крајње тачке; оно не говори ништа о намери партнера на другој страни.

ss -tulpn
sudo nft list ruleset
ip -br addr

Вежите услуге на адресу која им је потребна, а не на сваки интерфејс, и дозволите само операције које захтева одобрени задатак. Држите прослеђивање, премошћавање и прокси апликација експлицитним, јер два мрежна прикључка сама по себи не стварају транзитни пут, али правило проксија свакако може.

Одобрени једнократни радни простор смањује до чега удаљена мрежа може доћи, али само када његова конфигурација дељења одговара тврдњи. Дељене фасцикле, интеграција привремене меморије, агенти за акредитиве и управљачки канали сви прелазе границу коју је радни простор требало да створи. Ознака радног простора не доказује ништа о томе који су од њих отворени.

Архитектура нултог поверења NIST износи принцип који стоји иза свега овога: сама мрежна локација не даје имплицитно поверење. Аутентификација ресурса и даље има посла након што је тунел дозвољен, као и питање ко још дели ту мрежу.

Шта оператер на путу може видети

VPN премешта ваш саобраћај на друго место на путу; он не додаје шифровање апликација. Ако провајдер прекида ваш TLS, провајдер може читати оно што би ваш прегледач иначе заштитио, и ниједно локално правило заштитног зида то не мења.

Задржите уобичајену проверу сертификата за стварно одредиште и разумите пут резолвера и метаподатака, јер DNS упит може открити више од корисног терета који му претходи. Сами метаподаци, то јест које сте адресе контактирали и када, често одговарају на питање оператера без икакве потребе за читањем садржаја. Зато су „саобраћај је шифрован“ и „саобраћај је приватан“ различите тврдње.

Ако је та видљивост неприхватљива за задатак, одговор је друга одобрена архитектура, а не више локалног филтрирања. Локално филтрирање не може уклонити посматрача са пута на којем он још седи.

Шта локални клијент сме да мења

Ово је граница коју људи пропуштају, и она је та која друге две чини бесмисленим. На Linux-у CAP_NET_ADMIN покрива конфигурацију интерфејса, администрацију заштитног зида и промене рута у свом мрежном контексту. Софтвер са том способношћу може преписати политику коју сте управо написали.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Мрежни именски простор права је граница за мрежно стање и лоша за све остало: не изолује датотечни систем ни складиште акредитива. Третирајте га као један слој, а не као контејнер за цео проблем.

Набавите клијент и његову конфигурацију из одржаваног извора, прегледајте овлашћења која тражи и држите привилеговане компоненте под контролом администратора. Виртуелна машина може бити део квалификоване границе процене, а да не постане дозвола за покретање необјашњеног инсталера поред вредних акредитива. Инсталер ради са овлашћењима која му дате, и та овлашћења су граница.

Запишите коју сте границу прихватили

Завршите реченицом која именује четири ствари: поуздани локални код, дозвољени удаљени приступ, заштићене податке апликација и однос са оператером који остаје. Та реченица вреди више од свеобухватне тврдње да су VM, оперативни систем или антивирусни производ учинили непријатељску мрежу безбедном.

Затим потврдите да уска операција ради и да тражено одбијање још стоји, укључујући и након што тунел падне. Граница која постоји само док је тунел подигнут није граница коју сте документовали.

Ниједан тест не доказује да су све рањивости одсутне, и преглед који тврди супротно превише обећава. Искрен излаз именује преостали ризик и особу која га је прихватила.