Güvenilmeyen bir VPN bir değil, üç ayrı sınırdır

«Bu VPN'e güvenmiyorum» genellikle tek bir cümleyi giymiş üç ifadedir. O ağdaki uzaktaki eşler ana makinenizdeki hizmetlere ulaşabilir, tüneli işleten operatör içinden geçen trafiği gözlemleyebilir ve kurduğunuz istemci yazılımı makinenizin ağ politikasını değiştirebilir. Düzeltilmeye değer inanç, bir güvenlik duvarı kuralının, bir sanal makinenin veya dikkatli bir işletim sistemi seçiminin üçüne de yanıt verdiğidir. Her önlem tam olarak bunlardan birine yanıt verir.

Mit: tek bir kontrol tüm riski kapsar

Yaygın varsayım, güvenilmeyen bir ağa katılmanın tek bir hafifletmeyle tek bir karar olduğudur. İnsanlar zaten güvendikleri kontrolü seçer, uygular ve riski kapatılmış sayar: güvenlik duvarı açık, çalışma alanı tek kullanımlık, istemci saygın bir tedarikçiden geliyor.

Bu kontroller varsayımın ima ettiği gibi örtüşmez. Ana makine güvenlik duvarı uzaktaki bir eşin nereye ulaşabileceğini sınırlar ve TLS'nizi sonlandıran bir operatöre karşı hiçbir şey yapmaz. Sanal makine bir çalışma alanını ana makinenizin dosyalarından ayırır ve her ikisinin altındaki ağ yığınını yeniden yapılandırmasına izin verilen istemci bileşenine karşı hiçbir şey yapmaz. Her kontrolün gerçekte yarattığı sınırı adlandırmak bütün alıştırmadır.

Onları ayırmak aynı zamanda hangi riski kabul etmeyi seçtiğinizi söyler. Gerçek kararların çoğu bir sınırı hafifletir ve diğerine katlanır; bu, değişiklik kaydı hangisinin hangisi olduğunu söylediği sürece uygundur.

Uzaktaki eş gerçekte nereye ulaşabilir

Dinleyen hizmetlerle başlayın. Paketleri şifreli geldiği için geniş ölçüde güvenilir sayılan tünel arayüzü olağan hatadır ve o ağdaki herkes için her yerel dinleyiciyi olası bir hedefe dönüştürür. Şifreleme iki uç arasındaki kabloyu korur; karşı uçtaki eşin niyeti hakkında hiçbir şey söylemez.

ss -tulpn
sudo nft list ruleset
ip -br addr

Hizmetleri her arayüze değil ihtiyaç duydukları adrese bağlayın ve yalnızca onaylanmış görevin gerektirdiği işlemlere izin verin. Yönlendirmeyi, köprülemeyi ve uygulama vekilini açık tutun, çünkü iki ağ bağlantısı kendi başına geçiş yolu oluşturmaz, ama bir vekil kuralı kesinlikle oluşturabilir.

Onaylanmış tek kullanımlık çalışma alanı uzak ağın nereye ulaşabileceğini azaltır, ancak yalnızca paylaşım yapılandırması iddiayla eşleştiğinde. Paylaşılan klasörler, pano entegrasyonu, kimlik bilgisi aracıları ve yönetim kanalları çalışma alanının yaratması gereken sınırı aşar. Çalışma alanı etiketi bunlardan hangilerinin açık olduğu konusunda hiçbir şey kanıtlamaz.

NIST'in sıfır güven mimarisi tüm bunların arkasındaki ilkeyi belirtir: yalnızca ağ konumu örtük güven vermez. Kaynak kimlik doğrulamasının tünel kabul edildikten sonra da işi vardır; o ağı başka kimin paylaştığı sorusunun da.

Yoldaki operatör ne görebilir

Bir VPN trafiğinizi yolun başka bir noktasına taşır; uygulama şifrelemesi eklemez. Sağlayıcı TLS'nizi sonlandırırsa, tarayıcınızın aksi hâlde koruyacağı şeyi okuyabilir ve hiçbir yerel güvenlik duvarı kuralı bunu değiştirmez.

Gerçek hedef için normal sertifika doğrulamasını koruyun ve çözümleyici ile üst veri yolunu anlayın, çünkü bir DNS sorgusu kendisinden önce gelen yükten daha fazlasını açığa çıkarabilir. Yalnızca üst veriler, yani hangi adreslere ne zaman başvurduğunuz, çoğu zaman içeriği okumaya hiç gerek kalmadan operatörün sorusunu yanıtlar. Bu yüzden «trafik şifreli» ve «trafik özel» farklı iddialardır.

Bu görünürlük görev için kabul edilemezse yanıt daha fazla yerel filtreleme değil, başka bir onaylanmış mimaridir. Yerel filtreleme, hâlâ üzerinde oturan bir yoldan bir gözlemciyi çıkaramaz.

Yerel istemci neyi değiştirebilir

İnsanların gözden kaçırdığı sınır budur ve diğer ikisini anlamsız kılan da odur. Linux'ta CAP_NET_ADMIN kendi ağ bağlamında arayüz yapılandırmasını, güvenlik duvarı yönetimini ve rota değişikliklerini kapsar. Bu yeteneğe sahip yazılım, az önce yazdığınız politikayı yeniden yazabilir.

getcap /usr/sbin/openvpn
systemd-analyze security vpn-client.service
ip netns list

Ağ ad alanı ağ durumu için gerçek bir sınırdır ve diğer her şey için zayıf bir sınırdır: dosya sistemini veya kimlik bilgisi deposunu yalıtmaz. Onu tüm sorunun kabı değil, tek bir katman olarak ele alın.

İstemciyi ve yapılandırmasını bakımı yapılan bir kaynaktan edinin, istediği yetkiyi gözden geçirin ve ayrıcalıklı bileşenleri yönetici denetiminde tutun. Bir sanal makine, değerli kimlik bilgilerinin yanında açıklanmamış bir yükleyici çalıştırma iznine dönüşmeden nitelikli bir değerlendirme sınırının parçası olabilir. Yükleyici ona verdiğiniz her yetkiyle çalışır ve o yetki sınırdır.

Hangi sınırı kabul ettiğinizi yazın

Dört şeyi adlandıran bir cümleyle bitirin: güvenilen yerel kod, izin verilen uzaktan erişim, korunan uygulama verileri ve geriye kalan operatör ilişkisi. O cümle, bir VM'in, bir işletim sisteminin veya bir antivirüs ürününün düşmanca bir ağı güvenli hâle getirdiği yönündeki genel iddiadan daha değerlidir.

Ardından dar işlemin çalıştığını ve gereken reddin hâlâ geçerli olduğunu doğrulayın; tünel düştükten sonra da. Yalnızca tünel açıkken var olan bir sınır, belgelediğiniz sınır değildir.

Hiçbir test her açığın bulunmadığını kanıtlamaz ve aksini iddia eden bir inceleme abartıdır. Dürüst çıktı, kalan riski ve onu kabul eden kişiyi adlandırır.