Шта може да промени предати VPN профил на вашем уређају

Када клијенту предате VPN профил, предајете му конфигурацију коју је написао неко други и коју тај програм затим извршава на вашем рачунару. Његов увоз може да промени куда иде обухваћени саобраћај, ком саговорнику ваш уређај верује и у неким форматима које локалне програме покреће када се тунел подигне. Датотека није обележивач; она је мали програм у декларативном формату.

Читајте је онако како бисте читали командну скрипту из истог извора.

Тумачи је клијент, не ви

Свако поље у датотеци је упутство одређеном клијенту. Завршна тачка и протокол одлучују куда иде тунел, блок за аутентикацију одлучује које се тајне траже, а смернице за руте одлучују шта у њега улази. Сертификати или приватни кључ могу бити уграђени као блокови уместо да се наводе као датотеке, и зато једна текстуална датотека понекад носи све што је потребно да се неко представи као ви пред капијом. Управо то својство чини обично дељење датотека толико опасним.

OpenVPN профили могу да носе и скриптне куке, путање до прикључака и ниво безбедности који одређује смеју ли те куке да се извршавају. Управо та комбинација чини непознат профил достојним читања ред по ред уместо двоструког клика. Клијент ће учинити тачно оно што датотека каже, и то са вашим привилегијама.

Промене рутирања се виде после једне везе

Профил пуног тунела инсталира руте које све шаљу кроз капију, док профил подељеног тунела шаље само изабране префиксе. Неки профили гурају и DNS сервер, што тихо мења ко види ваше упите. Ништа од тога није злонамерно само по себи, и ништа од тога није очигледно из имена датотеке.

Упоредите табелу рута пре и после прве везе и видећете намеру на први поглед. Профил рекламиран као приступ једној интерној апликацији, али који инсталира ширу подразумевану руту, говори вам нешто о свом аутору.

Прави терет носе материјал поверења и куке

Профил може да пружи информације о поверењу VPN клијенту, а пакет конфигурације платформе може да оде даље и инсталира сертификат или корен у системско складиште. То су различити обухвати са различитим последицама. Случај у обухвату клијента утиче на проверу једне апликације; случај на системском нивоу утиче на све што користи складиште поверења платформе.

Скриптне куке и прикључци су друга половина. Смерница која при повезивању покреће команду, или прикључак учитан у процес клијента, има ваше дозволе и ништа од изолације клијента. Ако профил који нисте тражили садржи такво, то је питање за особу која га је послала.

Ниједна од две категорије није аутоматски непријатељска. Корпоративна распоређивања користе обе. Поента је да свака захтева објашњење које можете да проверите.

Проверите порекло, затим унесите тајну

Утврдите ко је издао датотеку кроз канал коме већ верујете, а не кроз поруку која ју је доставила. Упоредите податке о завршној тачки и сертификату са објављеном документацијом оператера. Ако је профил стигао без захтева, набавите нови директно од оператера уместо да поправљате копију која вам је дата. Питајте коју верзију клијента оператер подржава, јер исти документ други клијент може другачије да протумачи.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Никада не стављајте лозинку у необјашњено поље да видите да ли ради, и никада не прихватајте непознат захтев за привилегије само да бисте завршили увоз. Успешна веза доказује да је завршна тачка одговорила, ништа више.

Уклоните увезену копију, не преузимање

Клијенти копирају профил у сопствено складиште, тако да брисање преузете датотеке оставља увезену везу активном. Уклоните је кроз сопствени интерфејс клијента и проверите да ли је нестао и сваки сертификат додат током увоза. Затим потврдите да су нестале и руте које је инсталирао.

Ако је сертификат инсталиран на системском нивоу, уклањање профила није довољно. То чишћење припада управљању поверењем платформе и вреди га обавити намерно уместо да се надате да ће га следеће рестартовање решити.