VPN operatoru hansı saytlara baxdığınızı görə bilərmi?

VPN-in nə görə biləcəyini soruşun və cavab bundan asılıdır: yolda harada dayanırsınız. Sessiya qatında operatorun autentifikasiya hadisələri və bayt sayları var. Paket qatında hədəf ünvanları və vaxt məlumatı var. DNS qatında isə adların özü ola bilər. Hər qat başqa bir suala cavab verir və heç bir açar sizi onların arasında keçirmir.

İddia etməzdən əvvəl qatı xəritələyin

Eyni bağlantı hər nöqtədə fərqli qeydlər yaradır və məxfiliklə bağlı ifadə yalnız nöqtəni adlandırdıqda məna kəsb edir. Cədvəli sütun-sütun oxuyun: həmin qatda nə mövcuddur, operator orada nə görə bilər və həmin qeydlər ona nəyi deyə bilməz.

Bir qatı bütöv mənzərə kimi oxumaq həm şişirdilmiş iddiaların, həm də saxta arxayınlığın başlanğıcıdır. Gəzintini qeyd etmədiyini deyən provayder URL qeydiyyatı barədə düzgün ola bilər, amma yenə sessiya qeydlərini saxlayır; yalnız ünvanları göstərən paket tutması isə əks axtarış və təxmin olmadan gəzinti tarixçəsinə çevrilmir.

Siyasəti qiymətləndirərkən hər qatı təsvir edən cümləni tapın. Əgər siyasət onları ayırmırsa, şifrələmə haqqında ümumi ifadəni qəbul etmək əvəzinə hansı qeydlərin mövcud olduğunu soruşun.

Sessiya inventarı: standart OpenVPN serveri nə saxlayır

Qutudan çıxdığı kimi OpenVPN serveri trafiki tutmur. Adi çıxış sessiya inventarıdır: autentifikasiyadan keçən hesab, gəldiyi mənbə ünvanı, başlanğıc və son üçün vaxt damğaları, verilən tunel ünvanı və hər istiqamətdə bayt cəmləri. Bu, sessiyaların inventarıdır, hədəflərin siyahısı deyil.

Jurnal variantları detalları artıra bilər. Daha yüksək söz dolğunluğu səviyyəsi əl sıxışma haqqında daha çox yazır, status faylı qoşulmuş müştəriləri sadalaya bilər, amma heç biri serveri şəffaf proksiyə çevirmir. URL-lər hasil etmək üçün TLS-i sonlandırmaq və ya açıq proksi işlətmək lazımdır və hər ikisi gizli funksiyanı aktivləşdirmək əvəzinə etimad quruluşunu dəyişir.

Buna görə gəzinti jurnalı yoxdur iddiasının dəqiq variantı göründüyündən dardır. Server səhifəni bilmir, amma sessiyanın olduğunu və ondan təxminən nə qədər məlumat keçdiyini bilir. Həmin sessiya qeydinin saxlanılıb-saxlanmadığı və nə qədər saxlanacağı ayrı siyasət məsələsidir.

Daxili və xarici paketlər fərqli sübutlardır

Paket tutması tuneldən həqiqətən nə keçdiyini görmək üsuludur. Serverdə tunel interfeysini adlandırın və oflayn təhlil edilə bilən fayla yazın:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Həmin fayl deşifrə edilmiş daxili trafiki saxlayır: mənbə kimi müştərinin tunel ünvanı, hədəf ünvanı və portu, paket ölçüləri və vaxtı. Orada HTTP yolu və ya cavab gövdəsi yoxdur, məgər TLS haradasa sonlandırılıbsa; həm də bu, saxlanması sazlama rahatlığı deyil, siyasət qərarı olan həssas məlumatdır.

Fiziki interfeysdə tutma başqa şey göstərir. Orada VPN son nöqtəsinə ünvanlanmış xarici paketləri, içində şifrələnmiş yükü görürsünüz. Virtual adapter yaranandan sonra həmin faylda əlaqəsiz ünvanların görünməsi normaldır, çünki tunel cihazı daxili axınları, şifrələnmiş nəqliyyat isə xarici axınları daşıyır.

Tutmanın hansı suala cavab verməli olduğunu soruşun. Tətbiqin tuneldən istifadəsi virtual adapterdə görünür; tunelin son nöqtəyə çatması fiziki interfeysdə görünür. Hər hansı faylı tam mənzərə kimi işlətmək məlumatların dəstəkləyə bilməyəcəyi nəticələr doğurur.

DNS adların görünən olduğu yerdir

DNS praktik istisna olaraq qalır. Həlledici ondan həll etməsi istənilən adları görür, ona görə onu idarə edən kim olursa olsun, müştərinin hansı saytlara baxdığını öyrənir, hətta sonrakı bağlantılar şifrələnmiş olsa da. Tunel tutması ünvanları göstərir; həlledici adları göstərir.

Həlledicinin xarici xidmətə çatmaq üçün hansı ünvanı istifadə etdiyini yoxlayın. Cavab həlledicinin çıxış ünvanıdır və onu VPN çıxışı ilə müqayisə etmək sorğunun tuneldən keçib-keçmədiyini bildirir:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Əgər o ünvan tunel çıxışına deyil, yerli bağlantıya uyğun gəlirsə, axtarış VPN-i yan keçib və ad yerli yolda görünüb. Yoxlamanı müştəri yeniləməsindən sonra təkrarlayın, çünki yeni versiya profilin qurduğu həlledicini dəyişə bilər.

Şifrələnmiş DNS görünürlüğü aradan qaldırmır, yerini dəyişir. Şəbəkə artıq sorğunu görmür, amma həlledici hələ də görür və etimad sualı sadəcə əl dəyişdirir. Bağlantı əl sıxışmasındakı TLS server adı başqa qismən siqnaldır: yük qeyri-şəffaf olsa da o çox vaxt qalır, ona görə hədəf ünvanları yönləndirici serverin müşahidə edə biləcəyi yeganə metadatanın deyil.

Üç qeyd növü və onları kim oxuya bilər

Sessiya uçotu, ad üzrə qeydlər və sızma sübutları üç fərqli öhdəliyi olan üç fərqli məhsuldur. Sessiya jurnalları ucuz və az həssasdır, kimin və nə vaxt qoşulduğuna cavab verir. Ad üzrə qeydlər jurnal aparan həlledici və ya açıq proksi tələb edir və təsirlənən insanlara açıqlama öhdəliyi yaradır. Sızma sübutu isə həlledicinin nəyi açdığını tunel çıxışı ilə müqayisə edən müştəri tərəfli testdir.

Bu üçündən hansını işlətdiyinizi, kimin oxuya biləcəyini və nə qədər saxlanıldığını qeyd edin. Xidmətin jurnal saxlamadığına dair ifadələr bir qatı təsvir edir və yalnız həmin çərçivədə doğru qalır. Eyni provayder sessiyalar barədə dəqiq, DNS barədə isə səhv ola bilər.

Testi təkrarlana bilən saxlayın: eyni həlledici sorğusu, eyni tutma interfeysi və eyni müqayisə. Adlandırılmış qatda yoxlanıla bilməyən məxfilik iddiası şüar, əməliyyat faktı deyil.