VM içindeki bir VPN, trafiği ana makineden saklayabilir mi?

İstemciyi sanal makineye kurarsınız, tünel açılır ve misafirin trafiği şifrelenir. Bu, makinenin dışındaki ağa karşı bir şey ifade eder. Misafiri çalıştıran işletim sistemine karşı çok daha az şey satın alır, çünkü o, misafirin belleğini okuyabilir ve ekranını izleyebilir. Aşağıdaki kontroller tünelin neyi koruduğunu ana makinenin neyi tuttuğundan ayırır.

Ana makine düz metni tünelden önce okur

Masaüstü hipervizör misafire CPU zamanı verir ve yazdığı belleği okuyabilir, tarayıcının az önce çözdüğü sayfa dahil. Ana makinedeki bir izleme aracı o düz metni şifreye saldırmadan okur ve aynı düzeydeki bir tuş kaydedici tuş vuruşlarını herhangi bir istemci onları sarmadan önce toplar. Bunların hiçbiri bozuk bir VPN gerektirmez, bu yüzden temiz bir tünel araçlandırılmış bir ana makinenin yanında durabilir.

Bu konumun vermediği şey, uzak ucun anahtarları ya da başka bir uç noktanın uçtan uca koruduğu içeriktir. Tünel yine de geçtiği ağa karşı dayanır; boşluk yereldir.

Eserler oturumdan uzun yaşar

Bir VirtualBox misafirini duraklatın, yanında kayıtlı bellek durumunu taşıyan bir .sav dosyası belirir. VMware askıya alma ve anlık görüntü işi sırasında .vmem ve .vmsn dosyaları bırakır, Hyper-V denetim noktaları ana makine biriminde .avhdx fark disklerini büyütür. Bu dosyaların hiçbiri misafirin disk şifrelemesiyle şifrelenmez. Ana makinenin sayfa dosyası hipervizörün dışarı ittiği sayfaları da alabilir, Tails'in sanallaştırma kılavuzunda uyardığı iz budur. Hipervizörün anlık görüntü tutup tutmadığını ve ana makinenin takas alanının şifreli bir birimde olup olmadığını denetleyin.

Bu dosyalar için bir saklama kuralı belirleyin, birinin silmesine kadar onları tutan varsayılana güvenmek yerine. Amnezik bir oturum duyuran misafir bunu değiştirmez; dosyayı ana makine yazar, dolayısıyla onun politikası geçerlidir. Anlık görüntülerin nerede olduğunu ya da kimin açabileceğini söyleyemiyorsanız, misafirin tasarımı değerlendirilmemiştir.

Disk şifrelemesi daha dar bir durumu kapsar

Misafir diskini şifrelemek, durağan bir imgeyi, başka bir makineye taşınan birimi ya da kaçan bir yedeği korur. Misafir çalışırken hiçbir şey yapmaz, çünkü hipervizör belleği misafir çözdükten sonra okur. Parolayı saklanan kopyalar için koruma olarak görün, VM'i çalıştıran makineye karşı kalkan olarak değil.

Anahtarlar ve canlı yürütme ayrı sorulardır. Barındırılan ya da paylaşılan bir ortamda sağlayıcı, misafiri hiç denetlemediğiniz donanımda çalıştırırken imge anahtarlarını tutabilir, bu yüzden iki yanıtı da kaydedin.

Taşıma aynı görüntü değildir

Misafirin tünelini taşıyan kişi, yük kapalı kalsa bile dış uçları, zamanlamayı ve hacmi görür. Bu biçimdeki üst veriler genellikle gözlemcinin gerçekten sahip olduğu soruyu yanıtlar, bu yüzden onları gürültü değil açığın parçası sayın. Bağdaştırıcı kipi ve yönlendirme, ana makine düzeyindeki VPN kurallarının misafir trafiğine değip değmediğini belirler.

Bunu ana makinedeki bir tarayıcıdan değil, misafirin içinden test edin. Misafir doğrudan köprülenmişken ana makine tarayıcısı örtülü olabilir ve ikisi farklı yollar kullanarak aynı bağlantıyı paylaşabilir. Bağdaştırıcı kipini kaydedin, sonra bir varsayıma güvenmek yerine ana makinenin fiziksel arayüzünde bir yakalamayı denetleyin.

Geçişleri daraltın, sonra kaydı yazın

Misafiri kontrol ettiğiniz donanımda çalıştırın, hipervizörü yamalı tutun ve paylaşılan klasörleri, pano paylaşımını ve sürükleyip bırakmayı yalnızca işin gerektirdiği yerde açın. Bunların her biri ana makine ile misafir arasında bir kanaldır ve gelen varsayılan genellikle görevin gerektirdiğinden daha açıktır. Kullanmadığınız misafir eklentilerini kapatın, sonra ayarların yeniden başlatmadan sonra kaldığını doğrulayın, çünkü bir yükseltme kapattığınızı geri getirebilir.

Bu adımlar geçişleri daraltır; misafiri ayrı bir fiziksel güven sınırı yapmaz. Sertleştirilmiş bir VM'i böyle bir sınır saymak, risk değerlendirmelerinin genellikle yanıldığı yerdir.

Hassas iş için trafiğin nasıl yönlendirildiğini ve hangi yerel sistemlerin iş yükünü çalıştırıp tuttuğunu kaydedin. Ana makineyi kimin kontrol ettiğini ve hangi dosyaların oturumdan sonra kaldığını ekleyin. Yalnızca tüneli listeleyen bir gizlilik notu düzenlemenin yarısını anlatır.