Ang hindi pinagkakatiwalaang VPN ay tatlong magkahiwalay na hangganan, hindi isa

Ang «Hindi ako nagtitiwala sa VPN na ito» ay karaniwang tatlong pahayag na nakasuot ng isang pangungusap. Maaaring maabot ng malalayong kapwa sa network na iyon ang mga serbisyo sa iyong host, maaaring maobserbahan ng operator na nagpapatakbo ng tunel ang trapikong dumadaan dito, at maaaring baguhin ng software ng kliyenteng inilagay mo ang patakaran ng network ng iyong makina. Ang paniniwalang dapat ituwid ay na ang isang tuntunin ng firewall, isang virtual machine o maingat na pagpili ng operating system ay sumasagot sa tatlo. Ang bawat hakbang ay sumasagot sa eksaktong isa sa kanila.

Ang mito: isang kontrol ang sumasaklaw sa buong panganib

Ang karaniwang palagay ay ang pagsali sa hindi pinagkakatiwalaang network ay isang desisyon na may isang pagpapagaan. Pinipili ng mga tao ang kontrol na pinagkakatiwalaan na nila, inilalapat ito at itinuturing na tapos na ang panganib: bukas ang firewall, disposable ang workspace, ang kliyente ay mula sa kagalang-galang na vendor.

Hindi nag-o-overlap ang mga kontrol na ito tulad ng ipinahihiwatig ng palagay. Nililimitahan ng firewall sa host ang maaabot ng malayong kapwa, at wala itong ginagawa laban sa operator na nagtatapos ng iyong TLS. Hinihiwalay ng virtual machine ang workspace sa mga file ng iyong host, at wala itong ginagawa laban sa sangkap ng kliyenteng pinapayagang muling i-configure ang stack ng network sa ilalim ng dalawa. Ang pagpangalan sa hangganang aktuwal na nililikha ng bawat kontrol ay ang buong pagsasanay.

Sinasabi rin ng paghihiwalay sa kanila kung aling panganib ang pinili mong tanggapin. Karamihan sa tunay na desisyon ay nagpapagaan ng isang hangganan at nagtitiis ng isa pa, at iyon ay maayos hangga't sinasabi ng talaan ng pagbabago kung alin ang alin.

Ano ang aktuwal na maaabot ng malayong kapwa

Magsimula sa mga serbisyong nakikinig. Ang interface ng tunel na itinuturing na malawak na pinagkakatiwalaan dahil dumating nang naka-encrypt ang mga packet nito ang karaniwang pagkakamali, at ginagawa nitong posibleng target ang bawat lokal na tagapakinig para sa sinumang iba sa network na iyon. Pinoprotektahan ng encryption ang kawad sa pagitan ng dalawang dulo; wala itong sinasabi tungkol sa layunin ng kapwa sa kabilang dulo.

ss -tulpn
sudo nft list ruleset
ip -br addr

Itali ang mga serbisyo sa address na kailangan nila sa halip na sa bawat interface, at payagan lamang ang mga operasyong kailangan ng aprubadong gawain. Panatilihing tahasan ang pagpapasa, pag-bridge at proxy ng aplikasyon, dahil ang dalawang koneksyon sa network ay hindi lumilikha ng daanan ng transit sa kanilang sarili, ngunit ang isang tuntunin ng proxy ay tiyak na makakagawa.

Binabawasan ng aprubadong disposable na workspace ang maaabot ng malayong network, ngunit lamang kapag tumutugma ang configuration ng pagbabahagi nito sa pahayag. Ang mga ibinahaging folder, integrasyon ng clipboard, mga ahente ng kredensyal at mga channel ng pamamahala ay tumatawid lahat sa hangganang dapat likhain ng workspace. Walang pinapatunayan ang label ng workspace tungkol sa alin sa mga ito ang bukas.

Ang arkitektura ng zero-trust ng NIST ay nagpapahayag ng prinsipyong nasa likod ng lahat ng ito: ang lokasyon sa network lamang ay hindi nagbibigay ng implicit na pagtitiwala. Ang pagpapatunay ng resource ay may trabaho pa rin pagkatapos matanggap ang tunel, gayundin ang tanong kung sino pa ang nagbabahagi ng network na iyon.

Ano ang nakikita ng operator sa landas

Inililipat ng VPN ang iyong trapiko sa ibang lugar sa landas; hindi ito nagdaragdag ng encryption ng aplikasyon. Kung tatapusin ng provider ang iyong TLS, mababasa ng provider ang dapat na protektahan ng iyong browser, at walang lokal na tuntunin ng firewall ang makakabago niyon.

Panatilihin ang normal na pagpapatunay ng sertipiko para sa tunay na destinasyon at unawain ang landas ng resolver at metadata, dahil ang query ng DNS ay maaaring magbunyag ng higit pa sa payload na nauuna dito. Ang metadata lamang, ibig sabihin kung aling mga address ang kinontak mo at kailan, ay madalas na sumasagot sa tanong ng operator nang walang pangangailangang basahin ang nilalaman. Kaya nga ang «naka-encrypt ang trapiko» at «pribado ang trapiko» ay magkaibang pahayag.

Kung hindi katanggap-tanggap ang visibility na iyon para sa gawain, ang sagot ay isa pang aprubadong arkitektura sa halip na mas maraming lokal na pag-filter. Hindi maaaring alisin ng lokal na pag-filter ang isang tagamasid mula sa landas na kinauupuan pa rin nito.

Ano ang maaaring baguhin ng lokal na kliyente

Ito ang hangganang hindi napapansin ng mga tao, at ito ang nagpapawalang-saysay sa dalawa. Sa Linux, sinasaklaw ng CAP_NET_ADMIN ang configuration ng interface, pangangasiwa ng firewall at mga pagbabago ng ruta sa loob ng konteksto ng network nito. Maaaring muling isulat ng software na may kakayahang iyon ang patakarang isinulat mo lang.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ang namespace ng network ay tunay na hangganan para sa estado ng network at mahinang hangganan para sa lahat ng iba pa: hindi nito ibinubukod ang filesystem o ang imbakan ng kredensyal. Ituring itong isang layer at hindi lalagyan ng buong problema.

Kunin ang kliyente at ang configuration nito mula sa pinapanatili na pinagmulan, suriin ang awtoridad na hinihiling nito, at panatilihing nasa kontrol ng administrator ang mga privileged na sangkap. Ang virtual machine ay maaaring maging bahagi ng kwalipikadong hangganan ng pagsusuri nang hindi nagiging pahintulot na magpatakbo ng hindi ipinaliwanag na installer katabi ng mahahalagang kredensyal. Ang installer ay tumatakbo sa anumang awtoridad na ibigay mo, at ang awtoridad na iyon ay ang hangganan.

Isulat kung aling hangganan ang tinanggap mo

Tapusin sa isang pangungusap na nagpangalan ng apat na bagay: ang pinagkakatiwalaang lokal na code, ang pinapayagang malayong pag-access, ang protektadong datos ng aplikasyon at ang natitirang ugnayan sa operator. Mas mahalaga ang pangungusap na iyon kaysa sa pangkalahatang pahayag na ginawang ligtas ng VM, operating system o produktong antivirus ang isang palaban na network.

Pagkatapos tiyakin na gumagana ang makitid na operasyon at nananatili ang kinakailangang pagtanggi, kahit pagkatapos bumagsak ang tunel. Ang hangganang umiiral lamang habang nakataas ang tunel ay hindi ang hangganang naidokumento mo.

Walang pagsubok na nagpapatunay na wala ang bawat kahinaan, at ang pagsusuring nagsasabi ng kabilang ang lumalabis. Pinapangalanan ng matapat na output ang natitirang panganib at ang taong tumanggap nito.