Vad en överlämnad VPN-profil kan ändra på din enhet

Att ge sin klient en VPN-profil är att ge den en konfiguration skriven av någon annan, som programmet sedan kör på din maskin. Importen kan ändra vart den täckta trafiken går, vilken motpart enheten litar på och i vissa format vilka lokala program som startar när tunneln kommer upp. Filen är inte ett bokmärke; den är ett litet program i ett deklarativt format.

Läs den som du skulle läsa ett skalskript från samma källa.

Det är klienten som tolkar den, inte du

Varje fält i filen är en instruktion till en bestämd klient. Ändpunkten och protokollet avgör vart tunneln går, autentiseringsblocket avgör vilken hemlighet som krävs och rutt-direktiven avgör vad som kommer in i den. Certifikat eller en privat nyckel kan vara inbäddade som block i stället för att refereras som filer, och därför bär en enda textfil ibland allt som behövs för att utge sig för att vara du inför en gateway. Just den egenskapen gör tillfällig fildelning så farlig.

OpenVPN-profiler kan också bära skriptkrokar, plugin-sökvägar och en säkerhetsnivå som avgör om dessa krokar får köras. Den kombinationen är det som gör en okänd profil värd att läsa rad för rad i stället för att dubbelklicka på den. Klienten gör exakt vad filen säger, och den gör det med dina rättigheter.

Ruttändringar syns efter en anslutning

En fulltunnelprofil installerar rutter som skickar allt genom gatewayen, medan en deltunnelprofil bara skickar valda prefix. Vissa profiler skjuter också in en DNS-server, vilket tyst ändrar vem som ser dina frågor. Inget av detta är ondskefullt i sig, och inget av det är uppenbart av filnamnet.

Jämför routingtabellen före och efter den första anslutningen och du ser avsikten i ett ögonkast. En profil som annonseras som åtkomst till en intern applikation men installerar en bredare standardrutt säger dig något om sin författare.

Förtroendematerialet och krokarna bär den verkliga vikten

En profil kan förse VPN-klienten med förtroendeinformation, och ett plattformskonfigurationspaket kan gå längre och installera ett certifikat eller en rot i ett systemlager. Det är olika omfattningar med olika konsekvenser. Fallet inom klientens omfattning påverkar valideringen i en applikation; fallet på systemnivå påverkar allt som använder plattformens förtroendelager.

Skriptkrokar och plugins är den andra halvan. Ett direktiv som kör ett kommando vid anslutning, eller en plugin som laddas in i klientprocessen, har dina rättigheter och inget av klientens sandlåda. Om en profil du inte bad om innehåller en sådan är det en fråga till personen som skickade den.

Ingen av de två kategorierna är automatiskt fientlig. Företagsutrullningar använder båda. Poängen är att var och en kräver en förklaring du kan kontrollera.

Verifiera ursprunget och ange sedan hemligheten

Fastställ vem som utfärdade filen via en kanal du redan litar på, inte via meddelandet som levererade den. Jämför uppgifterna om ändpunkten och certifikatet med operatörens publicerade dokumentation. Om en profil kom utan att du bad om den, skaffa en ny direkt från operatören i stället för att reparera kopian du fick. Fråga vilken klientversion operatören stöder, eftersom samma fil kan tolkas annorlunda av en annan klient.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Lägg aldrig in ett lösenord i ett oförklarat fält för att se om det fungerar, och acceptera aldrig en okänd behörighetsbegäran bara för att slutföra en import. En lyckad anslutning bevisar att ändpunkten svarade, inget mer.

Ta bort den importerade kopian, inte nedladdningen

Klienter kopierar en profil till sitt eget lager, så att radera den nedladdade filen lämnar den importerade anslutningen aktiv. Ta bort den via klientens eget gränssnitt och kontrollera att även varje certifikat som lades till vid importen är borta. Bekräfta sedan att även de rutter den installerade är borta.

Om ett certifikat installerades på systemnivå räcker det inte att ta bort profilen. Den städningen hör till plattformens förtroendehantering, och den är värd att göra medvetet i stället för att hoppas att nästa omstart ordnar det.