Mga hindi pamilyar na OVPN file: lokal na panganib at tiwala mula sa malayo

Ituring ang OVPN file bilang input sa isang programa, hindi bilang sertipiko na walang panganib ang nilalaman nito. Ang pagsuri sa address ng server ay sumasagot lamang kung saan gustong kumonekta ang profile, at wala nang iba. May dalawang magkaibang desisyon sa tiwala sa loob ng file na iyon: ano ang maaaring gawin ng client sa iyong makina, at aling operator ang tumatanggap ng trapiko. Ang pamilyar na pangalan ng protocol ay hindi nagtatakda ng alinman sa dalawa.

Dalawang desisyon ang nagtatago sa isang file

Ang unang desisyon ay lokal. Ang profile ay isang wikang pangkumpigurasyon, at ang client na bumabasa nito ay maaaring sumuporta sa mga direktiba na naglo-load ng plugin, nagpapatakbo ng script o nagbabago kung paano inilalapat ang routing at DNS. Ang ikalawang desisyon ay mula sa malayo. Anuman ang nilalaman ng file, nakikita ng operator ng labasan ang trapikong umaabot dito.

Ang paghahalo ng dalawa ay nagbubunga ng masamang payo sa dalawang direksyon: isang profile na mukhang malinis mula sa hindi kilalang operator, o ang profile ng kilalang operator na may hook na walang nakabasa. Ang profile na ligtas sa lokal ay maaari pa ring magbigay ng iyong trapiko sa taong hindi mo pipiliin.

Basahin ang profile bago gawin ito ng kahit anong client

Basahin ang file bilang teksto bago ito iproseso ng kahit anong client. Hanapin ang mga direktiba na tumuturo sa labas ng file, tumutukoy sa mga executable o nagbabago ng mga pribilehiyo, at ihambing ang listahang iyon sa dokumentadong suporta ng client. Ang maikling paghahanap ay hindi isang pagsusuri ng seguridad, ngunit sinasabi nito kung ang profile ay listahan ng server o higit pa.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Ang walang laman na resulta ay nakapagpapalusog at hindi konklusibo, dahil ang mga opsyon ay maaaring mag-impluwensyahan o magmula sa isang kasamang file. Ituring ang nasala na listahan bilang dahilan upang magpatuloy sa pagbasa, hindi bilang hatol.

Ang mga tagubiling kasama ng profile ay karapat-dapat sa parehong pagsusuri gaya ng profile. Apat na hiling ang dapat pumigil sa iyo: paganahin ang mga script, mag-install ng katulong o library, patakbuhin ang client bilang administrator, o pahinain ang isang paghihigpit sa pag-import. Bawat isa ay naglilipat ng hangganan ng tiwala pailabas, at wala sa kanila ang ordinaryong bahagi ng pag-import ng listahan ng server.

Basahin din ang buong file nang isang beses, dahil ang isang hindi pamilyar na linya ay mas madaling hatulan sa konteksto kaysa sa nasalang listahan. Kung ang linya ay hindi pamilyar, hanapin ito sa manwal ng iyong client sa halip na hulaan.

Ano ang tunay na isasagawa ng client

Ang manwal ng 2.6 Community OpenVPN ay nagdodokumento ng mga baitang ng script-security: ang antas 1 ay default at hinaharangan ang mga script na tinukoy ng gumagamit, habang pinapayagan ng antas 2 ang mga ito. Ang paglo-load ng plugin ay hiwalay na pasilidad na may sariling direktiba. Kaya ang parehong file ay maaaring mangahulugan ng iba sa ibang client. Maaaring tumanggap ang mga client sa mobile at ng tagagawa ng mas makitid na hanay ng direktiba, o wala sa mga hook.

Ang paraan ng paglunsad ay kasinghalaga ng client. Ang profile na inilunsad ng isang privileged helper ay maaaring gumawa ng higit sa inilunsad sa user space, at ang pagkakaibang iyon ay dahilan upang basahin ang prompt ng pag-import sa halip na ipagsawalang-bahala ito.

Mahalaga rin ang bersyon, dahil ang mga antas na ito ay tinutukoy bawat release at ang client na ilang bersyon ang huli ay maaaring hindi magpatupad ng parehong patakaran. Basahin ang manwal na tumutugma sa build na pinapatakbo mo, hindi ang pinakabago na mahahanap mo. Kung ang client ay walang ipinapakitang string ng bersyon kahit saan, dahilan na iyon upang magdahan-dahan.

Ihambing ang operator, hindi lamang ang address

Ihambing ang mga operator gaya ng paghahambing mo sa anumang iba pang tagapamagitan. Itanong kung sino ang nagpapatakbo ng labasan, ano ang itinatala nila, at paano dumating sa iyo ang profile. Ang verified na pahina ng download at tugmang fingerprint ay nagsasabi ng higit kaysa pamilyar na hostname. Ang maabot na server ay nagpapatunay lamang na may sumagot.

Ang mga kredensyal ang bahaging nagkakamali ang mga tao sa ilalim ng pressure. Huwag i-type ang password ng walang kaugnayang account sa na-download na profile dahil mukhang pamilyar ang pangalan ng server. Ang profile ay maaari ring magdala ng private key nang lantad, kaya ang pag-post ng buong file sa isang review thread ay ibinibigay ang key na iyon sa thread.

Ang wastong na-validate na HTTPS session ay nagtatago pa rin ng nilalaman ng pahina sa kahit sinong nagpapasa lamang ng mga packet, kaya hindi awtomatikong nakikita ng labasan ang bawat password. Nakikita nito kung aling mga site ang naaabot mo, at ang hangganang iyon ay dapat sabihin nang tumpak sa halip na palakihin.

Kung saan nananatiling malabo ang pinagmulan ng file, o ang pribilehiyong hinihiling nito ay walang paliwanag na matanggap mo, palitan ang profile ng isa mula sa pinagmulang maaaring panagutin. Sa isang pinamamahalaang koneksyon sa trabaho, dapat aprubahan ng administrator ang client at ang kompigurasyon bilang isang desisyon, hindi dalawa. Wala sa mga ito ang nangangailangan na patunayan mo muna ang masamang hangarin; ang pagtanggi sa access ay isang lehitimong sagot.