Provar una afirmació de privadesa d'una VPN: conserveu proves que es mantinguin
Escriviu l'afirmació, l'observador i la configuració abans de mirar cap resultat. Una prova d'encaminament mostra una sortida; mai no mostra què conserva l'operador.
La prova comença amb una frase que algú vol que sigui certa, i les proves o bé donen suport a una versió estreta d'aquesta frase o bé a res. Una comprovació de l'adreça pública mostra quina sortida va fer servir una petició. No mostra què conserva el proveïdor, qui ho pot llegir ni què passa amb una sessió que no s'acaba mai. Recórrer la prova com un procediment documentat us impedeix afirmar més del que la mesura pot suportar.
Trieu una afirmació observable
Escriviu l'afirmació com una sola frase comprovable abans d'obrir cap eina: per a aquest perfil, en aquesta xarxa, les peticions a un ressò d'adreça pública surten per la sortida declarada del proveïdor. Aquesta frase anomena un subjecte, una condició i una observació, i això és el que la fa refutable. Una afirmació com que la VPN protegeix la privadesa no té cap forma observable, així que cap mesura no la pot resoldre. Guardeu una segona frase per a allò que la prova no cobrirà, perquè la retenció, l'accés de tercers i la correlació de trànsit queden tots fora d'una prova al navegador.
Escriviu aquesta segona frase per endavant, no després que arribi el resultat. És molt més fàcil ser honest sobre l'abast mentre el desenllaç encara és desconegut que després que una captura de pantalla tranquil·litzadora arribi al tiquet. Una nota d'abast afegida després tendeix a descriure el resultat en lloc de la pregunta.
Fets de configuració que un lector necessita per repetir la mesura
La configuració és el que fa reproduïble un resultat, i és el que la gent s'estalvia quan la resposta sembla bona. Les cadenes de versió, els noms de perfil, la xarxa d'accés i les famílies d'adreces pertanyen a la nota, juntament amb qualsevol regla de divisió del túnel que pogués treure trànsit del túnel. Anomeneu també l'esdeveniment que es prova, perquè una connexió que funciona, una caiguda inesperada, una desconnexió manual i un traspàs de xarxa exerceixen regles diferents. Una prova que barreja aquests esdeveniments demostra poc sobre qualsevol d'ells.
Feu servir trànsit no sensible en un entorn on tingueu autorització per provar. Capturar paquets no relacionats fa que el registre sembli tècnic i afegeix exposició sense afegir proves. Adreceu la captura només a la interfície del túnel i fixeu un límit de mida de fitxer perquè una execució llarga no ompli el disc. Atureu la captura abans de canviar res, perquè el fitxer coincideixi amb la línia de configuració que vau escriure.
Digueu què s'ha mesurat i què significa
Registreu què ha imprès l'eina i què podia veure l'eina. Una resposta del resolutor, un resultat del ressò d'adreça i una consulta de ruta responen preguntes diferents, i una etiqueta d'ubicació dins d'una pàgina web és una inferència sobre una base de dades, no un fet sobre la sortida. Escriviu la comanda que va produir cada línia al costat, perquè un valor sense la seva comanda no es pot reproduir. Manteniu la marca de temps en el mateix fus horari que el tiquet de canvi, o la seqüència es torna il·legible una setmana després.
curl -s https://icanhazip.com
curl -s https://ipinfo.io/ip; echo
resolvectl status --no-pager | head -15Dos serveis de ressò independents que coincideixen són més forts que un, i una discrepància és en si mateixa una troballa que val la pena anotar. La sortida del resolutor mostra si el DNS va seguir el túnel o va continuar fent servir la xarxa local, cosa que és una afirmació separada de l'adreça de sortida. Deseu la sortida crua amb una marca de temps i guardeu els resultats contraris en lloc de la captura de pantalla més tranquil·litzadora. Quan un canvi mou el resultat, apliqueu una variable alhora, perquè canviar servidor i client junts us deixa sense poder dir quin va importar.
Què pertany al registre i què s'ha de suprimir
Conserveu el mètode, la sortida no secreta i les limitacions, i després suprimiu la resta. Els perfils amb credencials, els noms d'amfitrió privats i els identificadors de compte no necessiten viatjar amb les proves, i un registre de prova que els filtra ha danyat allò que havia de demostrar. Els cinc camps de sota són la forma més curta que encara sobreviu a un traspàs.
| Field | What to write |
|---|---|
| Claim | One testable sentence naming the profile, the network and the observation |
| Observer and scope | Who could see the traffic or the record, and under which conditions |
| Setup | Client and server versions, profile name, access network, address families, split-tunnel rules, event under test |
| Raw result | Tool output with a timestamp, exit addresses from both echo services, resolver answer |
| What it does not support | Retention, third-party access, correlation, untested address families |
Adjunteu la declaració de política amb què compareu, amb la seva data i el seu abast. RFC 6973 emmarca l'anàlisi de privadesa al voltant d'observadors anomenats i d'un abast definit, i aquest marc encaixa en un registre de prova: qui podia observar què, en quines condicions i quines parts van quedar sense examinar.
Acabeu amb un paràgraf que declari què donen suport les proves i què no. Aquest paràgraf és el lliurable, i tot el que hi ha a sobre existeix per fer-lo honest. Si no es pot escriure sense matisar cada clàusula, la prova ha mesurat menys del que afirma el tiquet.