VPN isiyoaminika ni mipaka mitatu tofauti, si mmoja

«Siamini VPN hii» kwa kawaida ni kauli tatu zilizovaa sentensi moja. Wenzao wa mbali katika mtandao huo wanaweza kufikia huduma kwenye mwenyeji wako, mwendeshaji anayeendesha handaki anaweza kuona trafiki inayopita ndani yake, na programu ya mteja uliyoweka inaweza kubadilisha sera ya mtandao ya mashine yako. Imani inayostahili kusahihishwa ni kwamba kanuni ya ukuta wa moto, mashine pepe au uchaguzi makini wa mfumo wa uendeshaji hujibu zote tatu. Kila hatua hujibu moja tu kati yao.

Hadithi: udhibiti mmoja hufunika hatari yote

Dhana ya kawaida ni kwamba kujiunga na mtandao usioaminika ni uamuzi mmoja na upunguzaji mmoja. Watu huchagua udhibiti wanaouamini tayari, huutumia na kuchukulia hatari imemalizika: ukuta wa moto umewashwa, nafasi ya kazi ni ya kutupwa, mteja ametoka kwa muuzaji anayeheshimika.

Vidhibiti hivi havipingani kama dhana inavyodokeza. Ukuta wa moto wa mwenyeji huzuia kile mwenzi wa mbali anachoweza kufikia, na hafanyi chochote dhidi ya mwendeshaji anayemaliza TLS yako. Mashine pepe hutenganisha nafasi ya kazi na faili za mwenyeji wako, na haifanyi chochote dhidi ya sehemu ya mteja inayoruhusiwa kuunda upya tabaka la mtandao chini ya zote mbili. Kutaja mpaka ambao kila udhibiti huunda kwa kweli ndilo zoezi zima.

Kuwatenganisha kunakuambia pia ni hatari gani uliyochagua kuikubali. Maamuzi mengi ya kweli hupunguza mpaka mmoja na kuvumilia mwingine, na hilo ni sawa mradi rekodi ya mabadiliko iseme lipi ni lipi.

Mwenzi wa mbali anaweza kufikia nini kwa kweli

Anza na huduma zinazosikiliza. Kiolesura cha handaki kinachochukuliwa kama kinachoaminika kwa upana kwa sababu pakiti zake zilifika zikiwa zimesimbwa ni kosa la kawaida, na hilo humfanya kila msikilizaji wa ndani kuwa lengo linalowezekana kwa mtu mwingine yeyote kwenye mtandao huo. Usimbaji hulinda waya kati ya ncha mbili; hausemi chochote kuhusu nia ya mwenzi upande wa pili.

ss -tulpn
sudo nft list ruleset
ip -br addr

Funga huduma kwenye anwani zinayohitaji badala ya kila kiolesura, na ruhusu tu shughuli zinazohitajika na kazi iliyoidhinishwa. Weka wazi upelekaji, daraja na wakala wa programu, kwa sababu viungo viwili vya mtandao havijengi njia ya kupita vyenyewe, lakini kanuni ya wakala inaweza kwa hakika.

Nafasi ya kazi ya kutupwa iliyoidhinishwa hupunguza kile mtandao wa mbali unaweza kufikia, lakini tu wakati usanidi wake wa kushiriki unaoana na madai. Folda zinazoshirikiwa, ujumuishaji wa ubao wa kunakili, mawakala wa vitambulisho na njia za usimamizi zote huvuka mpaka ambao nafasi ya kazi ilipaswa kuunda. Lebo ya nafasi ya kazi haithibitishi chochote kuhusu zipi kati ya hizo ziko wazi.

Usanifu wa uaminifu sifuri wa NIST hutamka kanuni iliyo nyuma ya haya yote: eneo la mtandao pekee halitoi uaminifu wa kimtazamo. Uthibitishaji wa rasilimali bado una kazi baada ya handaki kukubaliwa, na pia swali la nani mwingine anashiriki mtandao huo.

Mwendeshaji aliye katika njia anaweza kuona nini

VPN huhamisha trafiki yako mahali pengine kwenye njia; haiongezi usimbaji wa programu. Iwapo mtoa huduma anamaliza TLS yako, mtoa huduma anaweza kusoma kile ambacho kivinjari chako kingelinda vinginevyo, na hakuna kanuni ya ukuta wa moto ya ndani inayobadilisha hilo.

Weka uthibitishaji wa kawaida wa vyeti kwa marudio halisi na uelewe njia ya kisuluhishi na ya metadata, kwa sababu swali la DNS linaweza kufichua zaidi ya mzigo unaolitangulia. Metadata pekee, yaani anwani zipi ulizowasiliana nazo na lini, mara nyingi hujibu swali la mwendeshaji bila hitaji la kusoma maudhui. Ndiyo sababu «trafiki imesimbwa» na «trafiki ni ya faragha» ni madai tofauti.

Iwapo mwonekano huo haukubaliki kwa kazi hiyo, jibu ni usanifu mwingine ulioidhinishwa badala ya uchujaji zaidi wa ndani. Uchujaji wa ndani hauwezi kuondoa mwangalizi kutoka kwenye njia ambayo bado amekaa.

Mteja wa ndani anaweza kubadilisha nini

Huu ndio mpaka ambao watu huukosa, na ndio unaofanya mingine miwili kuwa haina maana. Kwenye Linux, CAP_NET_ADMIN inashughulikia usanidi wa violesura, usimamizi wa ukuta wa moto na mabadiliko ya njia ndani ya muktadha wake wa mtandao. Programu iliyo na uwezo huo inaweza kuandika upya sera uliyoandika hivi punde.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Nafasi ya majina ya mtandao ni mpaka halisi kwa hali ya mtandao na mbaya kwa kila kitu kingine: haitengi mfumo wa faili au ghala la vitambulisho. Ichukulie kama tabaka moja na si kama chombo cha tatizo lote.

Pata mteja na usanidi wake kutoka chanzo kinachodumishwa, pitia mamlaka anayoomba, na uweke sehemu zenye upendeleo chini ya udhibiti wa msimamizi. Mashine pepe inaweza kuwa sehemu ya mpaka wa tathmini unaostahili bila kuwa ruhusa ya kuendesha kisakinishi kisichoelezwa kando ya vitambulisho vya thamani. Kisakinishi hufanya kazi kwa mamlaka yoyote unayompa, na mamlaka hiyo ndio mpaka.

Andika ni mpaka gani uliokubali

Maliza kwa sentensi inayotaja mambo manne: msimbo wa ndani unaoaminika, ufikiaji wa mbali unaoruhusiwa, data ya programu inayolindwa na uhusiano wa mwendeshaji unaobaki. Sentensi hiyo ina thamani zaidi kuliko dai la jumla kwamba VM, mfumo wa uendeshaji au bidhaa ya kinga virusi imefanya mtandao wa uadui kuwa salama.

Kisha thibitisha kwamba operesheni nyembamba inafanya kazi na kukataliwa kunakohitajika bado kunasimama, hata baada ya handaki kuanguka. Mpaka unaokuwepo tu wakati handaki iko juu si mpaka uliouandika.

Hakuna jaribio linalothibitisha kwamba mianya yote haipo, na mapitio yanayodai kinyume yanazidisha. Matokeo ya uaminifu yanataja hatari iliyobaki na mtu aliyeikubali.