Што журнал VPN можа і не можа даказаць пра прагляд сайтаў

Перш чым выбраць зборшчык журналаў, вызначце, якую падзею павінен устанавіць аўдыт. Пытанне пра тое, які сеанс VPN звярнуўся да адраса прызначэння, адрозніваецца ад пытання пра тое, які чалавек адкрыў пэўную старонку. Абодва патрабуюць розных запісаў, розных злучэнняў і розных узроўняў упэўненасці. Журнал злучэння OpenVPN адказвае на першае і не можа адказаць на другое.

Назавіце падзею перад выбарам зборшчыка

Запіс сеансу паказвае прынятую ідэнтычнасць, час пачатку і заканчэння і адрас, які сервер прызначыў па сваёй палітыцы. Журнал рэзалвера паказвае, што імя было запытана на гэтым рэзалверы. Запіс патоку паказвае адрасы, порты, пратакол і час, а журнал праграмы паказвае транзакцыю, якую гэтая праграма фактычна апрацавала. Ніводзін з гэтых чатырох не замяняе іншы.

Кожны з іх устанаўлівае адну падзею і пакідае астатнія адкрытымі. Калі спачатку запісаць пытанне, вы не складзяце гісторыю, якую даныя не могуць пацвердзіць.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Першая каманда паказвае падзеі сеанса з журнала службы. Другая друкуе бягучы спіс кліентаў з прызначанымі адрасамі, ад якога залежыць злучэнне пры аўдыце. Трэцяя паказвае жывы стан патоку, карысны толькі пакуль злучэнне існуе.

Запыт — гэта не наведванне

Браўзер развязвае імёны здагадкам, кэшуе адказы і паўторна выкарыстоўвае іх, не пытаючыся ў кантраляванага рэзалвера зноў. Таму імя ў журнале рэзалвера даказвае запыт, а не наведванне. DNS праз HTTPS пашырае гэтую розніцу, бо браўзер, наладжаны на яго, шле пытанні туды, дзе звычайны рэгістратар іх ніколі не ўбачыць.

Адрасы прызначэння самі па сабе не лепшыя. Адзін адрас можа размяшчаць шмат незвязаных сайтаў, зваротны DNS — здагадка, а не рэканструкцыя, а імя хоста, бачнае падчас рукапаціскання TLS, не з'яўляецца шляхам запыту ўнутры зашыфраванага сеансу.

Для дакладных транзакцый патрэбны ўласныя запісы падзей праграмы або архітэктура проксі, якая явна падтрымліваецца для журналявання. Тунель CONNECT дае проксі прызначэнне і аб'ём, але не шляхі старонак унутры яго. Адміністрацыйны доступ да сеткі не дае права ціха замяніць мадэль даверу праграмы.

Злучыце ідэнтычнасць і час, перш чым назваць чалавека

Запіс патоку з унутраным адрасам крыніцы нічога не значыць, пакуль гэты адрас не злучаны з сеансам у той жа час. Адрасы выкарыстоўваюцца паўторна, і той жа адрас гадзіну раней мог належаць іншаму сеансу. Статычнае прызначэнне — адзін са спосабаў захаваць сувязь, але не адзіны.

Межы перакладу яшчэ больш паслабляюць злучэнне. Калі некалькі прылад ужо дзялілі адзін адрас крыніцы да вашага пункта назірання, найлепшае, што можна вызначыць, — гэта супольны сеанс шлюза, а не адна прылада. Сертыфікат або ўліковы запіс, якім карыстаюцца некалькі чалавек, мае той жа эфект.

Запісвайце часовыя зоны, крыніцы часу, пункты назірання і кожны крок перакладу. Адсутныя запісы могуць азначаць, што запіс патоку састарэў, што датчык абыйшлі або што журнал праграмы быў выключаны. Адсутнасць не даказвае, што нічога не адбылося.

Затым вызначце мінімальныя палі, дазволеных чытачоў і тэрмін захавання для заяўленай мэты. Карэляцыя і памылковае прыпісванне — гэта пытанні праектавання, а не позняя думка, і метаданыя, якія ідэнтыфікуюць людзей, заслугоўваюць такой жа аховы, як і адпаведнае адлюстраванне ідэнтычнасці.

Праверце аўдыт на актыўнасці, якой вы кіруеце

Стварыце дазволены трафік, сеанс і праграму якога вы ўжо ведаеце, затым праверце, што насамрэч зафіксаваў кожны запіс. Выканайце запыт без загрузкі старонкі, загрузіце старонку з кэша і адкрыйце злучэнне праз проксі — і паглядзіце, якія падзеі з'явяцца.

Паведаміце пра падзею, якую пацвярджаюць доказы, і скажыце, чаго яны не ахопліваюць. Сціплы запіс з заяўленым ахопам вытрымае разгляд; амбіцыйная гісторыя праглядаў, сабраная са здагадак, не вытрымае.