Tanıdık olmayan OVPN dosyaları: yerel risk ve uzaktan güven

Bir OVPN dosyasını bir programın girdisi olarak görün, içeriğinin zararsız olduğuna dair bir belge olarak değil. Sunucu adresini denetlemek yalnızca profilin nereye bağlanmak istediğini yanıtlar, başka hiçbir şeyi değil. O dosyanın içinde iki ayrı güven kararı vardır: istemcinin makinenizde neler yapabileceği ve trafiği hangi operatörün aldığı. Tanıdık bir protokol adı ikisini de çözmez.

Tek bir dosyada iki karar saklı

İlk karar yereldir. Profil bir yapılandırma dilidir ve onu okuyan istemci, eklenti yükleyen, betik çalıştıran ya da yönlendirme ile DNS'in nasıl uygulandığını değiştiren yönergeleri destekleyebilir. İkinci karar uzaktadır. Dosyada ne olursa olsun, çıkış operatörü kendisine ulaşan trafiği görür.

İkisini karıştırmak her iki yönde de kötü tavsiye üretir: bilinmeyen bir operatörden temiz görünen bir profil ya da kimsenin okumadığı bir kancaya sahip tanınmış bir operatörün profili. Yerelde güvenli bir profil yine de trafiğinizi seçmeyeceğiniz birine verebilir.

Profili herhangi bir istemciden önce okuyun

Dosyayı herhangi bir istemci işlemeden önce metin olarak okuyun. Dosyanın dışına işaret eden, çalıştırılabilir dosyalara atıfta bulunan veya ayrıcalıkları değiştiren yönergeleri arayın ve bu listeyi istemcinin belgelenmiş desteğiyle karşılaştırın. Kısa bir arama güvenlik denetimi değildir, ama profilin bir sunucu listesi mi yoksa daha fazlası mı olduğunu söyler.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Boş bir sonuç rahatlatıcıdır ve kesin değildir, çünkü seçenekler birbirini etkileyebilir ya da içe alınan bir dosyadan gelebilir. Süzülen listeyi okumaya devam etmek için bir neden olarak görün, bir hüküm olarak değil.

Profil ile birlikte gelen talimatlar da profil kadar incelemeye değer. Dört istek sizi durdurmalıdır: betikleri etkinleştirmek, bir yardımcı ya da kitaplık kurmak, istemciyi yönetici olarak çalıştırmak veya bir içe aktarma kısıtlamasını zayıflatmak. Her biri güven sınırını dışa taşır ve hiçbiri bir sunucu listesini içe aktarmanın olağan parçası değildir.

Dosyanın tamamını bir kez de okuyun, çünkü tek bir tanıdık olmayan satır bağlamında süzülmüş bir listedekinden daha kolay değerlendirilir. Satır tanıdık değilse, tahmin etmek yerine istemcinizin kılavuzunda arayın.

İstemci gerçekte neyi çalıştıracak

Community OpenVPN'nin 2.6 kılavuzu script-security basamaklarını belgeler: düzey 1 varsayılandır ve kullanıcı tanımlı betikleri engeller, düzey 2 ise bunlara izin verir. Eklenti yükleme kendi yönergesine sahip ayrı bir mekanizmadır. Bu yüzden aynı dosya farklı istemcilerde farklı anlamlara gelebilir. Mobil ve üretici istemcileri daha dar bir yönerge kümesini kabul edebilir ya da kancaların hiçbirini kabul etmeyebilir.

Başlatma yöntemi istemci kadar önemlidir. Ayrıcalıklı bir yardımcı tarafından başlatılan profil, kullanıcı alanında başlatılandan daha fazlasını yapabilir ve bu fark, içe aktarma istemini görmezden gelmek yerine okumak için bir nedendir.

Sürüm de önemlidir, çünkü bu düzeyler her sürüm için tanımlanır ve birkaç sürüm geride kalan bir istemci aynı politikayı uygulamayabilir. Çalıştırdığınız derlemeye uyan kılavuzu okuyun, bulabildiğiniz en yenisini değil. İstemci hiçbir yerde sürüm dizesi göstermiyorsa, bu bile yavaşlamak için bir nedendir.

Operatörü karşılaştırın, yalnızca adresi değil

Operatörleri herhangi bir aracıyı karşılaştırdığınız gibi karşılaştırın. Çıkışı kimin işlettiğini, neyi günlüğe kaydettiklerini ve profilin size nasıl ulaştığını sorun. Doğrulanmış bir indirme sayfası ve eşleşen bir parmak izi, tanıdık bir ana bilgisayar adından daha fazlasını söyler. Erişilebilir bir sunucu yalnızca bir şeyin yanıt verdiğini kanıtlar.

Kimlik bilgileri, insanların baskı altında hata yaptığı kısımdır. Sunucunun adı tanıdık görünüyor diye indirilen bir profile ilgisiz bir hesabın parolasını yazmayın. Profil açık biçimde özel bir anahtar da taşıyabilir, bu yüzden dosyanın tamamını bir inceleme başlığında yayımlamak o anahtarı başlığa verir.

Düzgün doğrulanmış bir HTTPS oturumu, sayfa içeriğini yalnızca paketleri ileten herkesten hâlâ saklar, bu yüzden çıkış her parolayı otomatik olarak görmez. Hangi sitelere ulaştığınızı ise görür ve bu sınır abartılmak yerine doğru söylenmeye değer.

Dosyanın kaynağı belirsiz kalıyorsa veya istediği ayrıcalığın kabul edebileceğiniz bir açıklaması yoksa, profili hesap verebilir bir kaynaktan gelenle değiştirin. Yönetilen bir iş bağlantısında yönetici, istemciyi ve yapılandırmayı iki değil tek bir karar olarak onaylamalıdır. Burada hiçbir şey önce kötü niyet kanıtlamanızı gerektirmez; erişimi reddetmek meşru bir yanıttır.