Okända OVPN-filer: lokal risk och tillit på avstånd

Behandla en OVPN-fil som indata till ett program, inte som ett bevis på att innehållet är ofarligt. Att kontrollera serveradressen svarar bara på vart profilen vill ansluta, och inget annat. I den filen finns två separata tillitsbeslut: vad klienten får göra på din dator och vilken operatör som tar emot trafiken. Ett bekant protokollnamn avgör ingen av dem.

Två beslut gömmer sig i en fil

Det första beslutet är lokalt. Profilen är ett konfigurationsspråk, och klienten som läser den kan stödja direktiv som laddar ett plugin, kör ett skript eller ändrar hur routing och DNS tillämpas. Det andra beslutet är på avstånd. Vad filen än innehåller ser utgångsoperatören trafiken som når den.

Att blanda ihop de två ger dåliga råd i båda riktningarna: en ren profil från en okänd operatör, eller en känd operatörs profil med en krok som ingen har läst. En profil som är säker lokalt kan fortfarande lämna din trafik till någon du inte skulle välja.

Läs profilen innan någon klient gör det

Läs filen som text innan någon klient bearbetar den. Leta efter direktiv som pekar utanför filen, hänvisar till körbara filer eller ändrar behörigheter, och jämför listan med klientens dokumenterade stöd. En kort sökning är inte en säkerhetsgranskning, men den säger om profilen är en serverlista eller något mer.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Ett tomt resultat är lugnande och inte avgörande, eftersom alternativ kan samverka eller komma från en inkluderad fil. Behandla den filtrerade listan som en anledning att läsa vidare, inte som en dom.

Instruktionerna som följer med profilen förtjänar samma granskning som profilen. Fyra förfrågningar bör stoppa dig: aktivera skript, installera en hjälpare eller ett bibliotek, köra klienten som administratör, eller försvaga en importbegränsning. Var och en flyttar tillitsgränsen utåt, och ingen av dem är en vanlig del av att importera en serverlista.

Läs också hela filen en gång, eftersom en enda okänd rad är lättare att bedöma i sitt sammanhang än i en filtrerad lista. Om en rad är okänd, slå upp den i manualen för din klient i stället för att gissa.

Vad klienten faktiskt kommer att köra

Manualen för 2.6 Community OpenVPN dokumenterar script-security-trappan: nivå 1 är standard och blockerar användardefinierade skript, medan nivå 2 tillåter dem. Inläsning av plugin är en separat funktion med sitt eget direktiv. Därför kan samma fil betyda olika saker i olika klienter. Mobila klienter och leverantörsklienter accepterar kanske en snävare uppsättning direktiv, eller ingen av krokarna.

Startmetoden spelar lika stor roll som klienten. En profil som startas av en privilegierad hjälpare kan göra mer än en som startas i användarutrymmet, och den skillnaden är ett skäl att läsa importmeddelandet i stället för att avvisa det.

Versionen spelar också roll, eftersom dessa nivåer definieras per release och en klient flera versioner efter implementerar kanske inte samma policy. Läs manualen som matchar det bygge du kör, inte den nyaste du hittar. Om klienten inte visar någon versionssträng någonstans är det redan ett skäl att sakta ner.

Jämför operatören, inte bara adressen

Jämför operatörer som du jämför vilken annan mellanhand som helst. Fråga vem som driver utgången, vad de loggar och hur profilen nådde dig. En verifierad nedladdningssida och ett matchande fingeravtryck säger mer än ett bekant värdnamn. En nåbar server bevisar bara att något svarade.

Inloggningsuppgifter är den del där människor gör fel under press. Skriv inte in lösenordet till ett orelaterat konto i en nedladdad profil för att servernamnet ser bekant ut. En profil kan också bära en privat nyckel i klartext, så att publicera hela filen i en granskningstråd lämnar den nyckeln till tråden.

En korrekt validerad HTTPS-session döljer fortfarande sidinnehållet för alla som bara vidarebefordrar paket, så utgången ser inte automatiskt varje lösenord. Den ser däremot vilka webbplatser du når, och den gränsen är värd att säga exakt i stället för att överdriva.

Där filens ursprung förblir oklart, eller en behörighet den begär inte har en förklaring du kan acceptera, ersätt profilen med en från en källa som kan ställas till ansvar. På en hanterad arbetsanslutning bör administratören godkänna klienten och konfigurationen som ett beslut, inte två. Inget här kräver att du först bevisar ond avsikt; att neka åtkomst är ett legitimt svar.