Maitatago ba ng VPN sa loob ng VM ang trapiko mula sa host?

Nag-install ka ng kliyente sa loob ng virtual machine, tumataas ang tunel, at naka-encrypt ang trapiko ng guest. May halaga iyon laban sa network sa labas ng makina. Laban sa operating system na nagpapatakbo ng guest, mas kaunti ang nabibili nito, dahil kayang basahin ng OS ang memory ng guest at panoorin ang screen nito. Hinihiwalay ng mga pagsusuri sa ibaba ang ipinoprotekta ng tunel at ang itinatago ng host.

Binabasa ng host ang plaintext bago ang tunel

Binibigyan ng desktop hypervisor ng oras ng CPU ang guest at kayang basahin ang memory na isinusulat nito, kasama ang pahinang kade-decrypt lang ng browser. Binabasa ng tool sa pagsubaybay sa host ang plaintext na iyon nang hindi sinasaktan ang cipher, at ang keylogger sa parehong antas ay nangongolekta ng mga pagpindot bago pa man balutin ito ng anumang kliyente. Wala sa mga ito ang nangangailangan ng sirang VPN, kaya makakatayo ang malinis na tunel sa tabi ng host na may instrumento.

Ang hindi ibinibigay ng posisyong iyon ay ang mga susi ng malayong dulo, o nilalamang pinoprotektahan ng ibang endpoint mula dulo hanggang dulo. Naninindigan pa rin ang tunel laban sa network na tinatawid nito; lokal ang puwang.

Nabubuhay ang mga artepakto nang mas matagal kaysa sa sesyon

I-pause ang VirtualBox guest at may lalabas na .sav file na may naka-save na estado ng memory sa tabi nito. Nag-iiwan ang VMware ng .vmem at .vmsn file habang nag-su-suspend at gumagawa ng snapshot, at pinapalaki ng Hyper-V checkpoint ang .avhdx differencing disk sa volume ng host. Wala sa mga file na iyon ang naka-encrypt ng disk encryption ng guest. Kayang tumanggap din ng pagefile ng host ang mga pahinang itinulak palabas ng hypervisor, ang bakas na binabalaan ng Tails sa gabay nito sa virtualization. Tingnan kung nagtatago ang hypervisor ng snapshot at kung nasa naka-encrypt na volume ang swap ng host.

Magtakda ng tuntunin sa pagtago para sa mga file na iyon sa halip na umasa sa default, na nagtatago sa mga ito hanggang may magbura. Ang guest na nag-aanunsyo ng amnesic session ay walang binabago rito; host ang nagsusulat ng file, kaya patakaran ng host ang umiiral. Kung hindi mo masabi kung saan ang mga snapshot o sino ang makakabukas sa mga ito, hindi pa nasuri ang disenyo ng guest.

Saklaw ng disk encryption ang mas makitid na kaso

Pinoprotektahan ng pag-encrypt sa disk ng guest ang imaheng nakapahinga, volume na dinala sa ibang makina, o backup na nakatakas. Wala itong ginagawa habang tumatakbo ang guest, dahil binabasa ng hypervisor ang memory pagkatapos itong i-decrypt ng guest. Ituring ang passphrase na proteksyon para sa mga nakatagong kopya, hindi kalasag laban sa makinang nagpapatakbo ng VM.

Magkaibang tanong ang mga susi at ang live na pagpapatupad. Sa hosted o shared na kapaligiran, kayang hawakan ng provider ang mga susi ng imahe habang pinapatakbo ang guest sa hardware na hindi mo kailanman iniinspeksyon, kaya itala ang dalawang sagot.

Ang transportasyon ay hindi parehong tanaw

Ang nagdadala ng tunel ng guest ay nakikita ang mga panlabas na dulo, ang timing at ang volume, kahit nakasara ang payload. Madalas sinasagot ng metadata na ganoon ang hugis ang tanong na talagang mayroon ang observer, kaya ituring itong bahagi ng pagkakalantad at hindi ingay. Ang mode ng adapter at ang routing ang nagpapasya kung naaabot ng mga patakaran ng VPN sa antas ng host ang trapiko ng guest.

Subukan ito mula sa loob ng guest, hindi mula sa browser sa host. Kayang matakpan ang browser ng host habang direktang naka-bridge palabas ang guest, at kayang magbahagi ng koneksyon ang dalawa habang gumagamit ng magkaibang ruta. Itala ang mode ng adapter, pagkatapos tingnan ang isang capture sa pisikal na interface ng host sa halip na umasa sa palagay.

Paliitin ang mga tawiran, pagkatapos isulat ang tala

Patakbuhin ang guest sa hardware na kontrolado mo, panatilihing naka-patch ang hypervisor, at i-on ang shared folder, clipboard sharing at drag-and-drop lamang kung saan kailangan ng trabaho. Ang bawat isa ay channel sa pagitan ng host at guest, at ang default na kasama ay karaniwang mas bukas kaysa sa kailangan ng gawain. Patayin ang mga guest addition na hindi mo ginagamit, pagkatapos tiyakin na nananatili ang mga setting pagkatapos ng reboot, dahil kayang ibalik ng upgrade ang pinatay mo.

Pinapaliit ng mga hakbang na ito ang mga tawiran; hindi nito ginagawang hiwalay na pisikal na hangganan ng tiwala ang guest. Ang ituring na ganoong hangganan ang isang hardened VM ang karaniwang pinagkakamalan ng mga pagtatasa ng panganib.

Para sa sensitibong trabaho, itala kung paano niruruta ang trapiko at aling lokal na sistema ang nagpapatakbo at nagtatago ng workload. Idagdag kung sino ang kumokontrol sa host at aling mga file ang nabubuhay pagkatapos ng sesyon. Ang tala sa privacy na naglilista lamang ng tunel ay naglalarawan ng kalahati ng kaayusan.