Wat 'n WireGuard-handdruk-tydstempel werklik vir jou sê

Eén reël wat "onlangse handdruk, twee minute gelede" lees, lyk soos bewys van deurlopende aktiwiteit en is swakker as dit. Dit merk die laaste voltooide sleutelruil vir een eweknie, wat op 'n vaste hernuwingstyd gebeur terwyl verkeer vloei en ophou wanneer die eweknie stil word. Of daardie tyd 'n persoon aan enigiets koppel, hang af van die identifiseerders wat daarlangs gestoor word en die horlosies van beide stelsels. Hier is hoe die rekord in die twee mees algemene stelle optree, en waar die lees daarvan verkeerd loop.

Twee rekords, twee verskillende betekenisse

WireGuard hou een handdruk-tydstempel per eweknie, wat by elke hernuwing vervang word, plus greptellers in elke rigting. OpenVPN teken gewoonlik 'n sessiebegin, 'n ontkoppeling en enigiets wat die gekonfigureerde breedsprakigheid byvoeg aan, wat die eenheid van die rekord 'n sessie maak eerder as 'n sleutelruil.

Daardie verskil bepaal wat 'n afwesigheid beteken:

Waarom 'n handdruk nie deurlopende gebruik is nie

WireGuard hernu sleutels ongeveer elke twee minute terwyl daar data is om te beskerm, en 'n eweknie wat ledig raak, stop eenvoudig. 'n Verouderde handdruk kan dus beteken die skootrekenaar slaap, die gebruiker het opgehou werk, of die netwerk het die pakkette laat val wat die volgende uitruiling sou veroorsaak. Die tydstempel is 'n ondergrens op aktiwiteit, nie 'n volger van aandag nie.

Die omgekeerde fout is net so maklik. Aanhoudende keepalive-verkeer hou die tonnel warm op 'n ledige toestel, so 'n onlangse handdruk kan op 'n masjien verskyn wat niemand vir 'n uur aangeraak het nie. Greptellers help hier, want hulle onderskei 'n eweknie wat werklike data stuur van een wat net keepalives uitruil, en hulle sê ook watter rigting die volume gedra het. Niks daarvan openbaar 'n bestemming, 'n bladsy of 'n navraag nie.

Identifiseerders reis saam met die tydstempel

'n Tyd sonder 'n rekening, 'n publieke sleutel of 'n bronadres is 'n weeskind. Koppel die tydstempel aan die eweknie-identiteit en die waarneming word koppelbaar: 'n publieke sleutel bly voortbestaan oor adresveranderings heen, terwyl 'n bronadres deur baie intekenare agter diensverskaffer-omsetting gedeel kan word.

Daardie asimmetrie is wat die meeste privaatheidbesprekings miskyk. Die adres lyk anoniem omdat dit gedeel word, en die sleutel lyk tegnies omdat dit lank is, tog is die sleutel die stabiele identifiseerder. Om een veld te behou en die ander te laat val, verander die korrelasierisiko sonder om die skynbare presisie te verander.

Korrelasie self is die gedokumenteerde bekommernis. Om 'n verbindingstyd aan 'n verskaffer se aanmelding, 'n ondersteuningskaartjie of 'n betalingsrekord te koppel, kan 'n identiteit aan aktiwiteit verbind selfs wanneer geen bestemming ooit neergeskryf is nie, en daarom maak die koppeling meer saak as die formatering.

Korrelasie oor stelsels verg horlosiesorg

Twee stelsels wat dieselfde oomblik rapporteer, stem selde tot op die sekonde ooreen. Een kan 'n tydsone-afwyking in sy uitset toepas, 'n ander kan op 'n horlosie loop wat etlike sekondes verkeerd is, en 'n virtuele masjien kan na 'n slaap dryf.

Voordat jy aflei dat twee gebeurtenisse saam gebeur het, skakel albei na dieselfde sone oor en kontroleer die afwyking in die rou rekord eerder as in die vertoning. As die gaping wat jy meet kleiner is as die waarskynlike skeefheid, het jy glad geen ordening nie.

Die praktiese reël is om die presisie te hou wat die foutsporingstaak nodig het en niks meer nie. 'n Telling van sessies per uur beantwoord 'n beskikbaarheidsvraag sonder om 'n geskiedenis per rekening te hou, en 'n samevatting kan veel langer bewaar word as die rou rye waaruit dit gekom het.

Lees die rekord met opdragte, nie verbeelding nie

Druk die velde wat jy gaan beredeneer, in die eenhede wat die gereedskap stoor eerder as dié wat 'n paneelbord weergee.

Hierdie twee reëls wys die handdruk-ouderdom en greptellers vir elke WireGuard-eweknie, en dan dieselfde soort materiaal uit 'n OpenVPN-statuslêer:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Vergelyk die ouderdom met die hernuwingsinterval voordat jy 'n gevolgtrekking maak, en lees die tellers saam daarmee. 'n Eweknie met 'n onlangse handdruk en byna geen oordrag ruil keepalives uit, terwyl 'n eweknie met 'n verouderde handdruk en groot tellers besig was totdat dit opgehou het. Nie een van die reëls sê wat gedoen is nie, en om dit duidelik te sê is akkurater as om te impliseer dat die tydstempel 'n besoek bewys.