Kan en VPN i en VM dölja trafiken för värden?

Du installerar klienten i en virtuell maskin, tunneln kommer upp och gästens trafik krypteras. Det är något värt mot nätverket utanför maskinen. Mot operativsystemet som kör gästen ger det mycket mindre, eftersom det kan läsa gästens minne och se dess skärm. Kontrollerna nedan skiljer vad tunneln skyddar från vad värden behåller.

Värden läser klartext före tunneln

En skrivbordshypervisor ger gästen CPU-tid och kan läsa det minne den skriver, inklusive sidan en webbläsare just dekrypterade. Ett övervakningsverktyg på värden läser den klartexten utan att angripa chiffret, och en keylogger på samma nivå samlar tangenttryckningar innan någon klient packar in dem. Inget av detta behöver en trasig VPN, så en ren tunnel kan stå bredvid en instrumenterad värd.

Det positionen inte lämnar ifrån sig är nycklarna till den bortre änden, eller innehåll som en annan ändpunkt skyddar från ände till ände. Tunneln håller fortfarande mot nätverket den korsar; gapet är lokalt.

Artefakter överlever sessionen

Pausa en VirtualBox-gäst och en .sav-fil med sparat minnestillstånd dyker upp bredvid. VMware lämnar .vmem- och .vmsn-filer vid avstängning och ögonblicksbilder, och Hyper-V-kontrollpunkter växer .avhdx-differensdiskar på värdvolymen. Ingen av dessa filer krypteras av gästens diskkryptering. Värdens växlingsfil kan också ta emot sidor som hypervisorn pressat ut, spåret som Tails varnar för i sin guide för virtualisering. Kontrollera om hypervisorn behåller ögonblicksbilder och om värdens swap ligger på en krypterad volym.

Bestäm en bevaranderegel för dessa filer i stället för att lita på standarden, som behåller dem tills någon tar bort dem. En gäst som annonserar en amnestisk session ändrar inget av detta; värden skriver filen, så värdens policy gäller. Om du inte kan säga var ögonblicksbilderna ligger eller vem som kan öppna dem, har gästens design inte utvärderats.

Diskkryptering täcker ett snävare fall

Kryptering av gästens disk skyddar en avbildning i vila, en volym som bärs till en annan maskin eller en säkerhetskopia som slipper ut. Den gör inget medan gästen körs, eftersom hypervisorn läser minnet efter att gästen dekrypterat det. Behandla lösenfrasen som skydd för lagrade kopior, inte som en sköld mot maskinen som kör VM:en.

Nycklar och levande körning är separata frågor. I en hostad eller delad miljö kan leverantören hålla avbildningsnycklarna medan gästen körs på hårdvara du aldrig inspekterar, så anteckna båda svaren.

Transporten är inte samma vy

Den som bär gästens tunnel ser de yttre ändpunkterna, timingen och volymen, även när nyttolasten förblir stängd. Metadata av den formen svarar ofta på frågan observatören faktiskt har, så behandla det som en del av exponeringen och inte som brus. Adapterläget och routningen avgör om VPN-regler på värdnivå alls rör gästens trafik.

Testa det inifrån gästen, inte från en webbläsare på värden. En värdwebbläsare kan vara täckt medan gästen är bryggad rakt ut, och de två kan dela en anslutning medan de använder olika rutter. Anteckna adapterläget och kontrollera sedan en fångst på värdens fysiska gränssnitt i stället för att lita på ett antagande.

Minska övergångarna och skriv sedan protokollet

Kör gästen på hårdvara du kontrollerar, håll hypervisorn patchad och slå på delade mappar, urklippsdela och dra och släpp bara där arbetet behöver dem. Var och en är en kanal mellan värd och gäst, och standardinställningen är oftast öppnare än uppgiften kräver. Stäng av de gästtillägg du inte använder och bekräfta sedan att inställningarna överlever en omstart, eftersom en uppgradering kan återställa det du slog av.

Dessa steg minskar övergångarna; de gör inte gästen till en separat fysisk tillitsgräns. Att behandla en härdad VM som en sådan gräns är där riskbedömningar oftast går fel.

För känsligt arbete, anteckna hur trafiken routas och vilka lokala system som kör och behåller arbetslasten. Lägg till vem som kontrollerar värden och vilka filer som överlever sessionen. En integritetsnotis som bara listar tunneln beskriver halva arrangemanget.