Tệp OVPN xa lạ: rủi ro cục bộ và niềm tin từ xa

Hãy coi tệp OVPN là đầu vào của một chương trình, không phải là chứng nhận rằng nội dung của nó vô hại. Kiểm tra địa chỉ máy chủ chỉ trả lời hồ sơ muốn kết nối đến đâu, và không gì khác. Bên trong tệp đó có hai quyết định tin cậy riêng biệt: ứng dụng khách được làm gì trên máy của bạn, và nhà vận hành nào nhận lưu lượng. Một tên giao thức quen thuộc không giải quyết cả hai.

Hai quyết định ẩn trong một tệp

Quyết định thứ nhất là cục bộ. Hồ sơ là một ngôn ngữ cấu hình, và ứng dụng khách đọc nó có thể hỗ trợ các chỉ thị tải tiện ích, chạy tập lệnh hoặc thay đổi cách áp dụng định tuyến và DNS. Quyết định thứ hai là từ xa. Dù tệp có chứa gì, nhà vận hành đầu ra vẫn thấy lưu lượng đến với nó.

Nhầm lẫn hai điều này tạo ra lời khuyên tồi theo cả hai hướng: một hồ sơ trông sạch từ nhà vận hành không rõ, hoặc hồ sơ của nhà vận hành quen thuộc với một móc nối mà không ai đọc. Một hồ sơ an toàn cục bộ vẫn có thể trao lưu lượng của bạn cho người mà bạn không chọn.

Đọc hồ sơ trước khi bất kỳ ứng dụng khách nào làm vậy

Đọc tệp như văn bản trước khi bất kỳ ứng dụng khách nào xử lý nó. Tìm các chỉ thị trỏ ra ngoài tệp, tham chiếu tệp thực thi hoặc thay đổi quyền, và so sánh danh sách đó với hỗ trợ được ghi chép của ứng dụng khách. Một tìm kiếm ngắn không phải là đánh giá bảo mật, nhưng nó cho bạn biết hồ sơ là danh sách máy chủ hay nhiều hơn thế.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Kết quả rỗng là đáng yên tâm và không phải kết luận cuối cùng, vì các tùy chọn có thể tương tác hoặc đến từ một tệp được bao gồm. Hãy coi danh sách đã lọc là lý do để đọc tiếp, không phải phán quyết.

Các hướng dẫn đi kèm hồ sơ cũng đáng được soi xét như chính hồ sơ. Bốn yêu cầu nên khiến bạn dừng lại: bật tập lệnh, cài một trình trợ giúp hoặc thư viện, chạy ứng dụng khách với quyền quản trị, hoặc làm yếu một hạn chế nhập. Mỗi yêu cầu đẩy ranh giới tin cậy ra ngoài, và không cái nào là phần bình thường của việc nhập danh sách máy chủ.

Cũng hãy đọc toàn bộ tệp một lần, vì một dòng xa lạ dễ đánh giá trong ngữ cảnh hơn là trong danh sách đã lọc. Nếu một dòng xa lạ, hãy tra trong sổ tay của ứng dụng khách thay vì đoán.

Ứng dụng khách thực sự sẽ chạy gì

Sổ tay 2.6 của Community OpenVPN ghi lại các bậc script-security: mức 1 là mặc định và chặn các tập lệnh do người dùng định nghĩa, trong khi mức 2 cho phép chúng. Việc tải tiện ích là một cơ chế riêng với chỉ thị của nó. Đó là lý do cùng một tệp có thể mang ý nghĩa khác nhau ở các ứng dụng khách khác nhau. Ứng dụng khách di động và của nhà sản xuất có thể chấp nhận một bộ chỉ thị hẹp hơn, hoặc không móc nối nào cả.

Cách khởi chạy quan trọng không kém ứng dụng khách. Một hồ sơ được khởi chạy bởi trình trợ giúp có đặc quyền có thể làm nhiều hơn một hồ sơ khởi chạy trong không gian người dùng, và sự khác biệt đó là lý do để đọc lời nhắc nhập thay vì bỏ qua nó.

Phiên bản cũng quan trọng, vì các mức này được định nghĩa theo từng bản phát hành và một ứng dụng khách chậm vài phiên bản có thể không triển khai cùng chính sách. Hãy đọc sổ tay khớp với bản dựng bạn đang chạy, không phải bản mới nhất bạn tìm được. Nếu ứng dụng khách không hiển thị chuỗi phiên bản ở đâu cả, đó đã là lý do để chậm lại.

So sánh nhà vận hành, không chỉ địa chỉ

So sánh các nhà vận hành như bạn so sánh bất kỳ trung gian nào khác. Hỏi ai điều hành đầu ra, họ ghi lại gì, và hồ sơ đến với bạn bằng cách nào. Một trang tải xuống đã xác minh và dấu vân tay khớp nói nhiều hơn một tên máy chủ quen thuộc. Một máy chủ có thể truy cập chỉ chứng minh rằng có gì đó đã trả lời.

Thông tin đăng nhập là phần người ta làm sai dưới áp lực. Đừng gõ mật khẩu của một tài khoản không liên quan vào hồ sơ đã tải xuống chỉ vì tên máy chủ trông quen. Hồ sơ cũng có thể mang khóa riêng ở dạng rõ, nên việc đăng toàn bộ tệp trong một chủ đề đánh giá là trao khóa đó cho chủ đề.

Một phiên HTTPS được xác thực đúng vẫn che nội dung trang khỏi bất kỳ ai chỉ chuyển tiếp gói tin, nên đầu ra không tự động thấy mọi mật khẩu. Nhưng nó thấy bạn đến những trang nào, và ranh giới đó nên được nói chính xác thay vì phóng đại.

Khi nguồn gốc của tệp vẫn không rõ, hoặc quyền mà nó yêu cầu không có lời giải thích bạn có thể chấp nhận, hãy thay hồ sơ bằng một hồ sơ từ nguồn có thể bị quy trách nhiệm. Trên một kết nối công việc được quản lý, quản trị viên nên phê duyệt ứng dụng khách và cấu hình như một quyết định, không phải hai. Không có gì ở đây buộc bạn phải chứng minh ác ý trước; từ chối truy cập là một câu trả lời chính đáng.