நம்பமுடியாத VPN என்பது ஒன்றல்ல, மூன்று தனித்தனி எல்லைகள்

«இந்த VPN-ஐ நான் நம்பவில்லை» என்பது பொதுவாக ஒரே வாக்கியத்தில் அணியப்பட்ட மூன்று கூற்றுகள். அந்த வலையமைப்பில் உள்ள தொலைச் சகாக்கள் உங்கள் புரவலனின் சேவைகளை அடையலாம், சுரங்கப்பாதையை இயக்குபவர் அதன் வழியாகச் செல்லும் போக்குவரத்தைக் கவனிக்கலாம், மேலும் நீங்கள் நிறுவிய வாடிக்கையாளர் மென்பொருள் உங்கள் இயந்திரத்தின் வலையமைப்புக் கொள்கையை மாற்றலாம். திருத்தத்திற்குரிய நம்பிக்கை என்னவென்றால், ஒரு தீச்சுவர் விதி, மெய்நிகர் இயந்திரம் அல்லது கவனமான இயக்க முறைமைத் தேர்வு மூன்றிற்கும் பதிலளிக்கிறது என்பதே. ஒவ்வொரு நடவடிக்கையும் அவற்றில் சரியாக ஒன்றிற்கே பதிலளிக்கிறது.

புராணக்கதை: ஒரு கட்டுப்பாடு முழு ஆபத்தையும் மூடுகிறது

வழக்கமான அனுமானம் என்னவென்றால், நம்பமுடியாத வலையமைப்பில் சேர்வது ஒரு முடிவும் ஒரு தணிப்பும் ஆகும். மக்கள் ஏற்கனவே நம்பும் கட்டுப்பாட்டைத் தேர்ந்தெடுத்து, அதைப் பயன்படுத்தி, ஆபத்து முடிந்ததாகக் கருதுகிறார்கள்: தீச்சுவர் இயங்குகிறது, பணியிடம் தூக்கி எறியத்தக்கது, வாடிக்கையாளர் நல்ல பெயருள்ள விற்பனையாளரிடமிருந்து வந்துள்ளது.

இந்தக் கட்டுப்பாடுகள் அனுமானம் குறிப்பிடுவது போல ஒன்றையொன்று மூடுவதில்லை. புரவலன் தீச்சுவர் தொலைச் சகாவான ஒருவர் எங்கு வரை அடையலாம் என்பதைக் கட்டுப்படுத்துகிறது, உங்கள் TLS-ஐ முடிவுக்குக் கொண்டுவரும் இயக்குபவருக்கு எதிராக எதுவும் செய்யாது. மெய்நிகர் இயந்திரம் பணியிடத்தை உங்கள் புரவலன் கோப்புகளிலிருந்து பிரிக்கிறது, இரண்டிற்கும் கீழேயுள்ள வலையமைப்பு அடுக்கை மீண்டும் கட்டமைக்க அனுமதிக்கப்பட்ட வாடிக்கையாளர் கூறுக்கு எதிராக எதுவும் செய்யாது. ஒவ்வொரு கட்டுப்பாடும் உண்மையில் உருவாக்கும் எல்லையைப் பெயரிடுவதே முழுப் பயிற்சி.

அவற்றைப் பிரிப்பது நீங்கள் எந்த ஆபத்தை ஏற்கத் தேர்ந்தெடுத்தீர்கள் என்பதையும் சொல்கிறது. பெரும்பாலான உண்மையான முடிவுகள் ஒரு எல்லையைத் தணித்து மற்றொன்றைப் பொறுத்துக்கொள்கின்றன, மாற்றப் பதிவு எது எது என்று சொல்லும் வரை அது சரியே.

தொலைச் சகா உண்மையில் எங்கு வரை அடையலாம்

கேட்கும் சேவைகளில் தொடங்குங்கள். பொதிகைகள் மறையாக்கப்பட்டு வந்ததால் பரவலாக நம்பகமானதாகக் கருதப்படும் சுரங்கப்பாதை இடைமுகமே வழக்கமான தவறு, அது அந்த வலையமைப்பில் உள்ள ஒவ்வொருவருக்கும் ஒவ்வொரு உள்ளூர் கேட்பவரையும் சாத்தியமான இலக்காக மாற்றுகிறது. மறையாக்கம் இரு முனைகளுக்கு இடையிலான கம்பியைப் பாதுகாக்கிறது; அது மறுமுனையில் உள்ள சகாவின் எண்ணத்தைப் பற்றி எதுவும் சொல்லவில்லை.

ss -tulpn
sudo nft list ruleset
ip -br addr

சேவைகளை ஒவ்வொரு இடைமுகத்திற்கும் அல்லாமல் அவற்றிற்குத் தேவையான முகவரியில் பிணைக்கவும், அங்கீகரிக்கப்பட்ட பணி கோரும் செயல்பாடுகளை மட்டும் அனுமதிக்கவும். முன்னனுப்புதல், பாலமிடுதல் மற்றும் பயன்பாட்டு முகவர் ஆகியவற்றை வெளிப்படையாக வைத்திருங்கள், ஏனெனில் இரு வலையமைப்பு இணைப்புகள் தாமாகவே கடந்து செல்லும் பாதையை உருவாக்காது, ஆனால் முகவர் விதி நிச்சயமாக உருவாக்கும்.

அங்கீகரிக்கப்பட்ட தூக்கி எறியத்தக்க பணியிடம் தொலை வலையமைப்பு எங்கு வரை அடையலாம் என்பதைக் குறைக்கிறது, ஆனால் அதன் பங்கீட்டு அமைப்பு கூற்றுடன் பொருந்தினால் மட்டுமே. பங்கிடப்பட்ட கோப்புறைகள், இடைநிலைப் பலகை ஒருங்கிணைப்பு, சான்றுக் காரர்கள் மற்றும் நிர்வாகத் தடங்கள் அனைத்தும் பணியிடம் உருவாக்க வேண்டியிருந்த எல்லையைக் கடக்கின்றன. பணியிடத்தின் லேபிள் அவற்றில் எது திறந்திருக்கிறது என்பதைப் பற்றி எதையும் நிரூபிக்கவில்லை.

NIST-இன் பூஜ்ய-நம்பிக்கைக் கட்டமைப்பு இவை அனைத்திற்கும் பின்னால் உள்ள கொள்கையைக் கூறுகிறது: வலையமைப்பு இருப்பிடம் மட்டும் மறைமுக நம்பிக்கையைத் தராது. சுரங்கப்பாதை அனுமதிக்கப்பட்ட பிறகும் வள அங்கீகாரத்திற்கு வேலை உள்ளது, அந்த வலையமைப்பை வேறு யார் பங்கிடுகிறார்கள் என்ற கேள்விக்கும் உள்ளது.

பாதையில் உள்ள இயக்குபவர் என்ன பார்க்கலாம்

VPN உங்கள் போக்குவரத்தைப் பாதையின் வேறு இடத்திற்கு நகர்த்துகிறது; அது பயன்பாட்டு மறையாக்கத்தைச் சேர்க்கவில்லை. வழங்குநர் உங்கள் TLS-ஐ முடிவுக்குக் கொண்டுவந்தால், உங்கள் உலாவி இல்லையெனில் பாதுகாத்திருந்ததை வழங்குநர் படிக்கலாம், எந்த உள்ளூர் தீச்சுவர் விதியும் அதை மாற்றாது.

உண்மையான இலக்கிற்கு வழக்கமான சான்றிதழ் சரிபார்ப்பை வைத்திருங்கள், தீர்வியின் மற்றும் மெட்டாடேட்டா பாதையைப் புரிந்து கொள்ளுங்கள், ஏனெனில் DNS வினவல் அதற்கு முன் செல்லும் சுமையை விட அதிகமாக வெளிப்படுத்தலாம். மெட்டாடேட்டா மட்டும், அதாவது நீங்கள் எந்த முகவரிகளுடன் எப்போது தொடர்பு கொண்டீர்கள் என்பது, உள்ளடக்கத்தைப் படிக்க வேண்டிய அவசியமின்றி இயக்குபவரின் கேள்விக்கு அடிக்கடி பதிலளிக்கிறது. அதனால்தான் «போக்குவரத்து மறையாக்கப்பட்டுள்ளது» மற்றும் «போக்குவரத்து தனியானது» வெவ்வேறு கூற்றுகள்.

அந்தத் தெரிவுநிலை பணிக்கு ஏற்றுக்கொள்ள முடியாததாக இருந்தால், பதில் மேலும் உள்ளூர் வடிகட்டுதல் அல்ல, மற்றொரு அங்கீகரிக்கப்பட்ட கட்டமைப்பு. உள்ளூர் வடிகட்டுதல் இன்னும் அமர்ந்திருக்கும் பாதையிலிருந்து பார்வையாளரை அகற்ற முடியாது.

உள்ளூர் வாடிக்கையாளர் என்ன மாற்றலாம்

மக்கள் தவறவிடும் எல்லை இதுவே, மற்ற இரண்டையும் அர்த்தமற்றதாக்குவதும் இதுவே. லினக்ஸில் CAP_NET_ADMIN அதன் வலையமைப்புச் சூழலில் இடைமுக அமைப்பு, தீச்சுவர் நிர்வாகம் மற்றும் பாதை மாற்றங்களை உள்ளடக்குகிறது. அந்தத் திறன் உள்ள மென்பொருள் நீங்கள் இப்போது எழுதிய கொள்கையை மீண்டும் எழுதலாம்.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

வலையமைப்பு பெயரிடம் வலையமைப்பு நிலைக்கு உண்மையான எல்லை, மற்ற அனைத்திற்கும் மோசமானது: அது கோப்பு முறைமையையோ சான்றுக் களஞ்சியத்தையோ தனிமைப்படுத்தாது. அதை முழுப் பிரச்சினையின் கொள்கலனாக அல்ல, ஒரு அடுக்காகக் கருதுங்கள்.

வாடிக்கையாளரையும் அதன் அமைப்பையும் பராமரிக்கப்படும் மூலத்திலிருந்து பெறுங்கள், அது கோரும் அதிகாரத்தை மறுபரிசீலனை செய்யுங்கள், சிறப்புரிமை பெற்ற கூறுகளை நிர்வாகி கட்டுப்பாட்டில் வைத்திருங்கள். மதிப்புமிக்க சான்றுகளுக்கு அருகில் விளக்கப்படாத நிறுவியை இயக்க அனுமதியாகாமல், மெய்நிகர் இயந்திரம் தகுதியான மதிப்பீட்டு எல்லையின் பகுதியாக இருக்கலாம். நிறுவி நீங்கள் கொடுக்கும் எந்த அதிகாரத்துடனும் இயங்குகிறது, அந்த அதிகாரமே எல்லை.

நீங்கள் எந்த எல்லையை ஏற்றுக்கொண்டீர்கள் என்பதை எழுதுங்கள்

நான்கு விஷயங்களைப் பெயரிடும் வாக்கியத்துடன் முடியுங்கள்: நம்பகமான உள்ளூர் குறியீடு, அனுமதிக்கப்பட்ட தொலை அணுகல், பாதுகாக்கப்பட்ட பயன்பாட்டுத் தரவு மற்றும் எஞ்சியிருக்கும் இயக்குபவர் உறவு. அந்த வாக்கியம் VM, இயக்க முறைமை அல்லது வைரஸ் தடுப்பு தயாரிப்பு எதிரி வலையமைப்பைப் பாதுகாப்பாக்கியது என்ற பொதுக் கூற்றை விட மதிப்புமிக்கது.

பின்னர் குறுகிய செயல்பாடு இயங்குகிறது என்பதையும் கோரப்பட்ட மறுப்பு இன்னும் நிலைத்திருக்கிறது என்பதையும் உறுதிப்படுத்துங்கள், சுரங்கப்பாதை வீழ்ந்த பிறகும். சுரங்கப்பாதை மேலே இருக்கும் வரை மட்டும் இருக்கும் எல்லை நீங்கள் ஆவணப்படுத்திய எல்லை அல்ல.

எந்தச் சோதனையும் ஒவ்வொரு பாதிப்பும் இல்லை என்பதை நிரூபிக்காது, மாற்றத்தைக் கூறும் மறுஆய்வு மிகைப்படுத்துகிறது. நேர்மையான வெளியீடு எஞ்சிய ஆபத்தையும் அதை ஏற்றுக்கொண்ட நபரையும் பெயரிடுகிறது.