Перанакіраваны порт VPN: што бачаць наведвальнікі і правайдар

Перанакіраванне порта дае староннім людзям маршрут да сэрвісу праз публічны адрас правайдара. Гэта адзіная змена ўплывае на ўразлівасць і на пазнавальнасць адначасова, і ні адно з іх не публікуе імя таго, хто кіруе сэрвісам. Раздзяленне двух пазбягае процілеглых памылак: лічыць 'перанакіраванне' ананімнасцю і лічыць яго ідэнтыфікацыяй. Тры пытанні ясна раздзяляюць іх, і адказы прыходзяць з розных доказаў.

Тры аб’екты, тры розныя пытанні

Трымайце публічны адрас асобна ад праграмы, якая адказвае за ім, і трымайце абодва асобна ад чалавека ці арганізацыі, якія гэтым кіруюць. У кожнага свая аўдыторыя і свае доказы. Змешванне іх дае высновы, якія гучаць ахайна і ёсць памылковымі.

Праходзьце іх у такім парадку. Першае — пытанне дасяжнасці, другое — пытанне ідэнтычнасці праграмы, а трэцяе — пытанне атрыбуцыі, якое першыя два асвятляюць толькі часткова. Калі хтосьці пытаецца, ці прыватнае перанакіраванне порта, спытайце, якое з трох ён мае на ўвазе. Адказы сапраўды розныя, і старонка палітыкі звычайна разглядае толькі адно з іх.

Што наведвальнік можа звязаць паміж канчатковымі пунктамі

Наведвальнік падключаецца да канчатковага пункта і бачыць тое, што праграма законна паказвае: 'імя хоста', імя сертыфіката, старонку ўваходу, апублікаваны змест. Гэтыя дэталі ідэнтыфікуюць сэрвіс, нават калі яго звычайны адрас доступу схаваны за тунелем. Два канчатковыя пункты, якія паказваюць адзін і той жа названы сайт, даюць назіральнікам падставу звязаць іх. Нішто ў гэтых паводзінах не з’яўляецца ўцечкай, бо праграма была створана, каб яе бачылі.

Супадзенне сертыфікатаў, перанакіраванняў і зместу старонак на двух канчатковых пунктах — моцны сігнал, што яны належаць аднаму сэрвісу. Гэта застаецца сцвярджэннем пра сэрвіс, а не пра чалавека, пакуль нейкі іншы запіс не звяжа двух.

Кіраўніцтва IETF па прыватнасці апісвае, як устойлівыя ідэнтыфікатары дазваляюць карэляваць узаемадзеянні ў часе. Карэляцыя не ёсць атрыбуцыяй, бо адным сэрвісам могуць кіраваць некалькі чалавек, а адрас можа перайсці да незвязаных падпісчыкаў. Менавіта гэта розніца не дае выніку карэляцыі ператварыцца ў абвінавачанне.

Што павінен ведаць правайдар перанакіравання

Каб даставіць уваходнае злучэнне, сістэма правайдара павінна трымаць актыўную сувязь паміж публічнай кропкай уваходу і ўнутраным прызначэннем. Гэты аперацыйны факт адрозніваецца ад таго, што бачыць наведвальнік, і зноў адрозніваецца ад таго, што правайдар вырашае захаваць. Трымайце два пытанні асобна, калі чытаеце старонку палітыкі, бо адно непазбежнае, а другое — рашэнне. Сцвярджэнне, што гісторыя праглядаў не захоўваецца, нічога не кажа пра гісторыю супастаўленняў.

Ці застаюцца гістарычныя супастаўленні, сувязі з уліковымі запісамі або запісы злучэнняў — пытанне да фактычнай палітыкі і рэалізацыі правайдара. Перанакіраванне не даказвае, што кожная катэгорыя запісваецца. Спытайце канкрэтна, якія палі застаюцца пасля адклікання супастаўлення і на колькі.

Уваходная дасяжнасць таксама асобная ад зыходнай маршрутызацыі кліента, DNS і паводзін пры збоі. Даданне супастаўлення не апісвае, як выходзіць рэшта трафіку кліента.

Працягласць супастаўлення мяняе ўразлівасць

Супастаўленне можа трываць сеанс, рэзерваванне або палітыку правайдара, якая яго змяняе. Не варта меркаваць ні пастаяннае прызначэнне, ні пастаянную 'ратацыю'; чытайце дакументаваныя паводзіны прадукту і запісвайце тое, што назіраеце. Два назіранні з розніцай у тыдзень скажуць пра ратацыю больш, чым любы маркетынгавы сказ на старонцы прадукту. Запішыце назіраны інтэрвал побач з канчатковым пунктам у нататках, бо інтэрвал — частка ўразлівасці.

Тэрмін жыцця змяняе, якая карэляцыя магчымая. Стабільны канчатковы пункт запрашае доўгатэрміновы трэкінг аднаго сэрвісу, а ротацыйны робіць кожнае назіранне цяжэйшым для далучэння да папярэдняга. Ні адна ўласцівасць не гарантыя адносна запісаў правайдара, і ні адна не замяняе рашэння пра тое, што публікуе сам сэрвіс.

Публікуйце свядома, потым зачыніце абодва дзверы

Пераканайцеся, што правайдар дазваляе патрэбны вам пратакол, што мэтавы слухач — менавіта той, які вы мелі на ўвазе, і што кантроль хоста і праграмы ўсё яшчэ абмяжоўвае доступ. Перад публікацыяй паглядзіце, што сэрвіс пакажа старонняму. Гэтыя дзве каманды паказваюць сертыфікат і загалоўкі, якія атрымлівае наведвальнік.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Публікацыя чагосьці не апраўдвае раскрыцця яго адміністрацыйных старонак або адмены ўваходу ў праграму, а пераклад не дае TLS сэрвісу, які ніколі яго не меў. Трымайце шыфраваны пратакол і праверкі ідэнтычнасці сервера на месцы, незалежна ад таго, як прыходзіць трафік. Затым праверце загалоўкі адказу, бо 'банер' або старонка адладкі могуць сказаць старонняму больш, чым мае намер сэрвіс. Тое, што вяртаюць дзве каманды, — той самы від, які бачыць назіральнік.

Вывад сэрвісу з эксплуатацыі азначае два закрыцці, а не адно: адклічце супастаўленне праз яго ўладальніка, затым разбярыцеся са слухачом і правам як з асобнымі пунктамі. Канчатковы пункт у закладках, які перастае адказваць, не адклікае ўліковыя даныя і не вяртае ўжо дастаўленую інфармацыю.