家用NAS/Server/Homelab集中討論區(5)

最近先有單新聞係講係untrusted network用vpn都未必安全
https://arstechnica.com/security/2024/05/novel-attack-against-virtually-all-vpn-apps-neuters-their-entire-purpose/

我覺得最緊要係只上https既網站 同埋如果browser話憑證有問題既話要即刻停用個public wifi

如果係咁，我用返Hotspot算

btw單新聞有講android同(用network namespace既)Linux係唔受呢個影響
如果你用android既話可以放心用vpn

Android係佢唔理會個標準DHCP protocol所以先無事
而Linux大部分distro default都係「有事」，只不過你有好多空間好易改佢
我覺得呢個漏洞雖然係幾嚴重，不過唔係代表VPN個基礎有問題
本身有好多前設先令人以為響public network開任何VPN就已經好安全
衣家只係修正番大家個概念

我用Mac and iPhone, 咁安全嗎？

佢呢個叫做漏洞 姐係要有壞人主動搞exploit佢 你先會受影響 如果冇壞人搞野既話其實冇事
而且就算真係有人搞你 你仲有https保護

所以最緊要上網一定要用https 同埋browser上咩網都話憑證有問題既話 要即刻停止使用個public wifi

我成日要用 payment / bank / login 公司後台. 有風險就唔攪了. hotspot 最多無得出trip 時睇youtube.

hotspot意思係你只用自己SIM卡去tether WiFi俾其他device用? 咁你都要信你張SIM個台

payment或其他敏感資料類app本身package已encrypt，其實就算用browser去銀行website做野https已經係
所以起碼packet就算俾人sniff你都起碼有encryption擋住所以呢個層面無咩好驚
今次呢個漏洞真正影響係好多人以為開VPN就可以先tunnel去一點再re-route，做到anonymity呢一點係被bypass

主要怕酒店 Wifi 咋. 咁出trip 次次買張當地 5G 大容量去用.如果經 VPN 安全就想用返酒店 wifi.

我睇到有人話用travel router可以擋到呢個漏洞
不過呢個我冇研究過 比唔到建議你

嗰啲都好似係內置VPN咋喎

利申鳩up
應該係你部手機／mac 裝vpn 唔係部router
個漏洞要你本地網絡上有壞人控制既dhcp server先work
你用travel router既話 咁你就會用部router本身既dhcp server 所以就唔受影響

我而家就係想部機行VPN去返自己屋企個VPN server

但上面話唔係百分百安全

針對DHCP option 121個travel router唔會幫到件事?
佢係地圖炮形式將所有outbound都bypass原本個route喎
個router真正作用係俾到一般WiFi蛋以至電話OS開hotspot有一個強好多而你可以config嘅firewall

同埋都係嗰句，你packet確定做好encryption，條route被trace甚至被強制sniff都對你破壞性係有限

條route被trace甚至被強制sniff都對你破壞性係有限

一般用家應該係既 但今次發現者有提到會失去匿名性(攻擊者可以知你個packet係想去邊) 而咁對某啲用家有極大風險(eg 異見人士/吹哨者/記者)

https://youtu.be/_osIJ4OdzFE?t=312

我既理解係 你用travel router時要係client機本身行VPN （而唔係travel router自己行VPN）

public wifi既dhcp configuration唔會走到去你部client機到（travel router幫你擋左）
咁你client機既traffic就會照常行vpn device, encrypt左先離開部機

咁就算public router派個有問題既route比你部travel router而成功intecept到traffic 佢最多都係睇到你vpn encrypt左既traffic 同埋個traffic目標ip係你個vpn server
唔同原本個情況（你d traffic完全唔行VPN tunnel，attacker睇到曬你既traffic同你目標ip，如果冇ssl既話甚至睇到埋plaintext）
唔知有冇理解錯

hmm，咁好似比較我之前個理解無咁大鑊
姐係只要你edge內有一個你控制到嘅DHCP server，就唔需要理會edge外發生咩事
而且隻router你suppose可以config佢收WAN個DHCP client究竟會唔會好似Windows / macOS / iOS去理會Option 121

所以的確唔應該忽視呢鑊漏洞
失去anonymity係可以令你輕易用其他server個timestamp去比較而確定係你
就算唔講到俾政府級別target，就算平時廣告用途tracking都會鍾意知道你traffic去邊

應該係你VPN client同dhcp client唔係玩緊同一張route table就得
例如你host machine做dhcp client 上面行個vm/container(eg webtop) 做VPN client

不過隻travel router一樣可以行VPN client，而又用佢DHCP收嘅routing table，呢個情況下佢係同你就咁用隻iPhone連去Starbucks無咩分別
今次件事最大好處係提醒大家，只要你響公廁network，就咁開一開VPN係幫唔到你幾多
唔開就裸跑，開只係多塊樹葉

不過隻travel router一樣可以行VPN client，而又用佢DHCP收嘅routing table

Laptop/iPhone行VPN client 隻travel router做街網dhcp client 咁就應該冇問題

對我嚟講係做唔做到365/7/24
外國成日power outage 幾粒鐘 所有嘢冧哂
Outage 得耐 ISP 派過另一粒public ip 之後又要update 哂啲DNS record