Por lo que sé, la conexión inicial a un servicio VPN comercial es la más vulnerable.
Digamos que tengo un atacante persistente en mi cola.
El módem-enrutador de mi casa del ISP probablemente esté comprometido.
Las telecomunicaciones locales no son confiables.
¿Hay alguna forma de registrarse y conectarse de manera segura a un servicio VPN comercial sin que mis claves sean interceptadas?
Por lo que sé, la conexión inicial a un servicio comercial de VPN es la más vulnerable. ... ¿Hay alguna forma de registrarse de forma segura y conectarse a un servicio VPN comercial sin que mis claves sean interceptadas?
Suponiendo que comienza con un sistema limpio y no comprometido, entonces la conexión inicial es solo un problema si confía ciegamente en la conexión, es decir, no use una conexión TLS, ignore las advertencias de los certificados o simplemente se conecte a un sistema que parece que sería un proveedor confiable de VPN pero no lo es.
Si su TLS ya ha sido interceptado activamente y lo nota, es necesario que confíe en diferentes formas de establecer un contacto con el proveedor de VPN de confianza. Esto puede ser, por ejemplo, el correo postal para el contacto inicial y luego obtener algún sistema o software preconfigurado para conectarse a la VPN. O puede ser el uso de una conexión a Internet más confiable de algún amigo. También tenga en cuenta que si su flujo ascendente es tan invasivo, entonces simplemente podría bloquear la conexión VPN.
... pero he visto repetidamente noticias sobre ataques a TLS (FREAK, DROWN, etc.), ¿no sería posible que la implementación de una VPN comercial en TLS fuera vulnerable? Además, con las recientes revelaciones sobre las debilidades perfectas del secreto hacia adelante (Diffie-Hellman), ¿esto no haría que mis preocupaciones sean más válidas?
Está aumentando los problemas que ha escuchado en algún lugar sin entender qué significan realmente y dónde se aplican. Si bien fueron errores en implementaciones específicas y casos de uso, TLS por sí solo no está dañado. Además, los problemas que usted cita actualmente solo pueden ser explotados por un atacante con muchos recursos.
Pero, los atacantes generalmente no desperdician dinero en tales ataques si se puede hacer de la manera más barata. Si se enfrenta a un atacante de este tipo, debe dejar de confiar no solo en su ISP, sino también en el proveedor del hardware de su computadora, su sistema operativo, cualquier programa que haya instalado (¿de dónde los ha descargado en algún lugar de Internet?). También debería preguntarse si la VPN comercial que desea usar puede ser realmente confiable, es decir, si tiene una infraestructura segura en sí misma y no cooperará con sus enemigos dado el dinero suficiente, que generalmente es aún más barato que romper TLS.
Además, asegúrate de que nadie pueda entrar a tu casa para atacarte físicamente o simplemente manipular tu computadora para instalar software que te permita ser rastreado incluso si usas una VPN.
Lea otras preguntas en las etiquetas man-in-the-middle vpn