Faili za OVPN zisizojulikana: hatari ya ndani na imani ya mbali

Chukulia faili ya OVPN kama ingizo la programu, si kama cheti kwamba maudhui yake hayana madhara. Kukagua anwani ya seva kunajibu tu mahali wasifu unataka kuunganisha, na si kingine chochote. Ndani ya faili hiyo kuna maamuzi mawili tofauti ya imani: mteja anaweza kufanya nini kwenye mashine yako, na ni opereta gani anapokea trafiki. Jina la itifaki linalojulikana haliwezi kuamua lolote kati ya hayo.

Maamuzi mawili yamejificha katika faili moja

Uamuzi wa kwanza ni wa ndani. Wasifu ni lugha ya usanidi, na mteja anayeusoma anaweza kuauni maagizo yanayopakia programu jalizi, kuendesha skripti au kubadilisha jinsi uelekezaji na DNS vinavyotumika. Uamuzi wa pili ni wa mbali. Chochote kilicho kwenye faili, opereta wa kutoka anaona trafiki inayomfikia.

Kuchanganya hayo mawili kunatoa ushauri mbaya kwa pande zote mbili: wasifu unaoonekana safi kutoka kwa opereta asiyefahamika, au wasifu wa opereta anayefahamika wenye ndoano ambayo hakuna aliyesoma. Wasifu salama ndani unaweza bado kupeana trafiki yako kwa mtu ambaye usingemchagua.

Soma wasifu kabla ya mteja yeyote kufanya hivyo

Soma faili kama maandishi kabla ya mteja yeyote kuichakata. Tafuta maagizo yanayoelekeza nje ya faili, yanayorejelea faili zinazotekelezeka au yanayobadilisha haki, na linganisha orodha hiyo na usaidizi ulioandikwa wa mteja. Utafutaji mfupi si ukaguzi wa usalama, lakini unakuambia kama wasifu ni orodha ya seva au kitu zaidi.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Tokeo tupu linatuliza na si la mwisho, kwa sababu chaguo zinaweza kuathiriana au kuja kutoka faili iliyojumuishwa. Chukulia orodha iliyochujwa kama sababu ya kuendelea kusoma, si hukumu.

Maagizo yanayokuja pamoja na wasifu yanastahili uchunguzi sawa na wasifu. Maombi manne yanapaswa kukusimamisha: kuwezesha skripti, kusakinisha msaidizi au maktaba, kuendesha mteja kama msimamizi, au kudhoofisha kizuizi cha uingizaji. Kila moja huhamisha mpaka wa imani kuelekea nje, na hakuna moja ni sehemu ya kawaida ya kuingiza orodha ya seva.

Soma pia faili yote mara moja, kwa sababu mstari mmoja usiojulikana ni rahisi kuhukumu katika muktadha kuliko katika orodha iliyochujwa. Ikiwa mstari haujulikani, utafute katika mwongozo wa mteja wako badala ya kukisia.

Mteja atatekeleza nini hasa

Mwongozo wa 2.6 wa Community OpenVPN unaandika ngazi za script-security: ngazi ya 1 ni chaguo-msingi na inazuia skripti zilizofafanuliwa na mtumiaji, wakati ngazi ya 2 inaziruhusu. Upakiaji wa programu jalizi ni utaratibu tofauti na agizo lake. Ndiyo sababu faili moja inaweza kumaanisha mambo tofauti kwa wateja tofauti. Wateja wa simu na wa watengenezaji wanaweza kukubali seti nyembamba ya maagizo, au hakuna ndoano yoyote.

Njia ya kuzindua ni muhimu kama mteja. Wasifu unaozinduliwa na msaidizi mwenye haki unaweza kufanya zaidi ya ule unaozinduliwa katika nafasi ya mtumiaji, na tofauti hiyo ni sababu ya kusoma kidokezo cha uingizaji badala ya kuipuuza.

Toleo pia ni muhimu, kwa sababu ngazi hizi zinafafanuliwa kwa kila toleo na mteja aliye nyuma matoleo kadhaa anaweza asitekeleze sera hiyo hiyo. Soma mwongozo unaolingana na toleo unalolifanya, si lile jipya zaidi unaloliona. Ikiwa mteja haonyeshi mnyororo wa toleo mahali popote, hiyo ni sababu ya kupunguza kasi.

Linganisha opereta, si anwani pekee

Linganisha opereta kama unavyolinganisha mpatanishi mwingine yeyote. Uliza nani anaendesha kutoka, wanaweka kumbukumbu gani, na wasifu ulikufikiaje. Ukurasa wa upakuaji uliothibitishwa na alama ya kidole inayolingana husema zaidi kuliko jina la mwenyeji linalojulikana. Seva inayoweza kufikiwa inathibitisha tu kwamba kitu fulani kilijibu.

Vitambulisho ni sehemu ambayo watu hukosea chini ya shinikizo. Usiandike nenosiri la akaunti isiyohusiana kwenye wasifu uliopakuliwa kwa sababu jina la seva linaonekana kufahamika. Wasifu unaweza pia kubeba ufunguo wa kibinafsi wazi, kwa hiyo kuchapisha faili yote katika uzi wa ukaguzi kunakabidhi ufunguo huo kwa uzi.

Kipindi cha HTTPS kilichothibitishwa ipasavyo bado kinaficha maudhui ya ukurasa kutoka kwa yeyote anayesambaza pakiti tu, kwa hiyo njia ya kutoka haioni kila nenosiri kiotomatiki. Inaona hata hivyo tovuti unazofikia, na mpaka huo unastahili kusemwa kwa usahihi badala ya kupindukia.

Mahali asili ya faili inabaki haijulikani, au haki inayoiomba haina maelezo unayoweza kukubali, badilisha wasifu na ule kutoka chanzo kinachoweza kuwajibishwa. Kwenye muunganisho wa kazi unaosimamiwa, msimamizi anapaswa kuidhinisha mteja na usanidi kama uamuzi mmoja, si mawili. Hakuna chochote hapa kinachokuhitaji kuthibitisha nia mbaya kwanza; kukataa ufikiaji ni jibu halali.