VPN ใน VM ซ่อนทราฟฟิกจากโฮสต์ได้หรือไม่?

คุณติดตั้งไคลเอนต์ในเครื่องเสมือน อุโมงค์ขึ้นมา และทราฟฟิกของเกสต์ถูกเข้ารหัส นั่นมีค่าอยู่บ้างต่อเครือข่ายนอกเครื่อง ต่อระบบปฏิบัติการที่รันเกสต์ มันให้ได้น้อยกว่ามาก เพราะระบบนั้นอ่านหน่วยความจำของเกสต์และดูหน้าจอได้ การตรวจสอบด้านล่างแยกสิ่งที่อุโมงค์ปกป้องออกจากสิ่งที่โฮสต์เก็บไว้

โฮสต์อ่านข้อความธรรมดาก่อนที่อุโมงค์จะทำ

ไฮเปอร์ไวเซอร์เดสก์ท็อปให้เวลา CPU แก่เกสต์และอ่านหน่วยความจำที่เกสต์เขียนได้ รวมถึงหน้าซึ่งเบราว์เซอร์เพิ่งถอดรหัส เครื่องมือเฝ้าระวังบนโฮสต์อ่านข้อความธรรมดานั้นโดยไม่โจมตีรหัสลับ และตัวบันทึกคีย์บนระดับเดียวกันเก็บการกดแป้นก่อนที่ไคลเอนต์ใดจะห่อหุ้มมัน ไม่มีสิ่งใดในนี้ต้องใช้ VPN ที่แตกหัก อุโมงค์ที่สะอาดจึงอยู่ข้างโฮสต์ที่ติดตั้งเครื่องมือได้

สิ่งที่ตำแหน่งนั้นไม่มอบให้คือกุญแจของปลายทางไกล หรือเนื้อหาที่ปลายทางอื่นปกป้องตั้งแต่ต้นจนจบ อุโมงค์ยังคงต้านทานเครือข่ายที่มันข้ามผ่าน ช่องว่างนั้นอยู่ภายในเครื่อง

สิ่งที่หลงเหลืออยู่ยืนนานกว่าช่วงการใช้งาน

หยุดพักเกสต์ VirtualBox แล้วไฟล์ .sav ที่มีสถานะหน่วยความจำซึ่งบันทึกไว้จะปรากฏข้าง ๆ VMware ทิ้งไฟล์ .vmem และ .vmsn ระหว่างการพักและสแนปช็อต และเช็กพอยต์ของ Hyper-V ทำให้ดิสก์ส่วนต่าง .avhdx เติบโตบนวอลุ่มของโฮสต์ ไม่มีไฟล์ใดถูกเข้ารหัสด้วยการเข้ารหัสดิสก์ของเกสต์ ไฟล์เพจของโฮสต์ยังอาจรับหน้าที่ไฮเปอร์ไวเซอร์ดันออกไปได้ ร่องรอยที่ Tails เตือนในคู่มือการจำลองเสมือนของมัน ตรวจสอบว่าไฮเปอร์ไวเซอร์เก็บสแนปช็อตหรือไม่ และสวอปของโฮสต์อยู่บนวอลุ่มที่เข้ารหัสหรือไม่

กำหนดกฎการเก็บรักษาสำหรับไฟล์เหล่านั้นแทนการเชื่อถือค่าเริ่มต้นซึ่งเก็บไว้จนมีคนลบ เกสต์ที่โฆษณาว่าเป็นเซสชันหลงลืมไม่เปลี่ยนสิ่งนี้ เพราะโฮสต์เป็นผู้เขียนไฟล์ นโยบายของโฮสต์จึงมีผล หากคุณบอกไม่ได้ว่าสแนปช็อตอยู่ที่ใดหรือใครเปิดได้ การออกแบบของเกสต์ยังไม่ถูกประเมิน

การเข้ารหัสดิสก์ครอบคลุมกรณีที่แคบกว่า

การเข้ารหัสดิสก์ของเกสต์ปกป้องอิมเมจที่หยุดนิ่ง วอลุ่มที่พาไปเครื่องอื่น หรือแบ็กอัปที่หลุดออกไป มันไม่ทำอะไรขณะเกสต์ทำงาน เพราะไฮเปอร์ไวเซอร์อ่านหน่วยความจำหลังจากเกสต์ถอดรหัสแล้ว มองวลีรหัสผ่านเป็นการป้องกันสำเนาที่เก็บไว้ ไม่ใช่โล่ต่อเครื่องที่รัน VM

กุญแจและการทำงานสดเป็นคำถามแยกกัน ในสภาพแวดล้อมที่โฮสต์หรือใช้ร่วมกัน ผู้ให้บริการอาจถือกุญแจอิมเมจขณะรันเกสต์บนฮาร์ดแวร์ที่คุณไม่เคยตรวจสอบ ดังนั้นบันทึกทั้งสองคำตอบ

การขนส่งไม่ใช่ภาพเดียวกัน

ผู้ที่พาอุโมงค์ของเกสต์เห็นปลายทางภายนอก จังหวะเวลา และปริมาณ แม้เพย์โหลดจะปิดอยู่ เมทาดาทารูปแบบนั้นมักตอบคำถามที่ผู้สังเกตมีจริง จึงควรมองว่าเป็นส่วนหนึ่งของการเปิดเผย ไม่ใช่เสียงรบกวน โหมดอะแดปเตอร์และการกำหนดเส้นทางตัดสินว่า กฎ VPN ระดับโฮสต์แตะทราฟฟิกของเกสต์หรือไม่

ทดสอบจากภายในเกสต์ ไม่ใช่จากเบราว์เซอร์บนโฮสต์ เบราว์เซอร์ของโฮสต์อาจถูกคลุมไว้ขณะที่เกสต์ถูกบริดจ์ออกไปตรง ๆ และทั้งสองอาจใช้เส้นทางต่างกันร่วมการเชื่อมต่อเดียว บันทึกโหมดอะแดปเตอร์ แล้วตรวจการดักจับบนอินเทอร์เฟซจริงของโฮสต์แทนการเชื่อถือสมมติฐาน

ลดการข้ามให้แคบลง แล้วเขียนบันทึก

รันเกสต์บนฮาร์ดแวร์ที่คุณควบคุม ให้ไฮเปอร์ไวเซอร์ได้รับการแพตช์ และเปิดโฟลเดอร์ที่แชร์ การแชร์คลิปบอร์ด และการลากวางเฉพาะที่งานต้องการ แต่ละอย่างเป็นช่องทางระหว่างโฮสต์กับเกสต์ และค่าเริ่มต้นที่มากับสินค้ามักเปิดกว้างกว่าที่งานต้องการ ปิดส่วนเสริมของเกสต์ที่คุณไม่ใช้ แล้วยืนยันว่าการตั้งค่ายังอยู่หลังรีบูต เพราะการอัปเกรดอาจคืนสิ่งที่คุณปิดไว้

ขั้นตอนเหล่านี้ทำให้การข้ามแคบลง แต่ไม่ได้เปลี่ยนเกสต์ให้เป็นขอบเขตความเชื่อถือทางกายภาพแยกต่างหาก การถือว่า VM ที่เสริมความแข็งแรงเป็นขอบเขตเช่นนั้นคือจุดที่การประเมินความเสี่ยงมักผิดพลาด

สำหรับงานที่ละเอียดอ่อน บันทึกว่าทราฟฟิกถูกกำหนดเส้นทางอย่างไร และระบบภายในใดรันและเก็บภาระงาน เพิ่มว่าใครควบคุมโฮสต์และไฟล์ใดอยู่รอดหลังเซสชัน บันทึกความเป็นส่วนตัวที่ระบุเพียงอุโมงค์อธิบายเพียงครึ่งเดียวของการจัดวาง