Què us diu realment la marca de temps d'un handshake de WireGuard

Una sola línia que diu «últim handshake, fa dos minuts» sembla una prova d'activitat contínua i és més feble que això. Marca l'últim intercanvi de claus completat per a un parell, que passa segons un temporitzador fix de renovació de claus mentre hi ha trànsit i s'atura quan el parell calla. Si aquesta hora vincula una persona amb alguna cosa depèn dels identificadors desats al costat i dels rellotges dels dos sistemes. Aquí teniu com es comporta el registre en les dues piles més habituals i on falla la seva lectura.

Dos registres, dos significats diferents

WireGuard guarda una marca de temps de handshake per parell, substituïda a cada renovació de claus, més comptadors de bytes en cada direcció. OpenVPN normalment registra l'inici d'una sessió, una desconnexió i tot el que afegeix la verbositat configurada, cosa que fa que la unitat del registre sigui una sessió i no un intercanvi de claus.

Aquesta diferència decideix què significa una absència:

Per què un handshake no és ús continu

WireGuard renova les claus aproximadament cada dos minuts mentre hi ha dades a protegir, i un parell que queda inactiu simplement s'atura. Així, un handshake antic pot significar que l'ordinador portàtil dorm, que l'usuari ha parat de treballar o que la xarxa ha descartat els paquets que haurien desencadenat el següent intercanvi. La marca de temps és un límit inferior de l'activitat, no un rastrejador de l'atenció.

L'error invers és igual de fàcil. El trànsit keepalive persistent manté el túnel calent en un dispositiu inactiu, així que un handshake recent pot aparèixer en una màquina que ningú ha tocat durant una hora. Els comptadors de bytes ajuden aquí, perquè distingeixen un parell que envia dades reals d'un que només intercanvia keepalives, i també diuen quina direcció va portar el volum. Res d'això no revela una destinació, una pàgina ni una consulta.

Els identificadors viatgen amb la marca de temps

Una hora sense compte, clau pública ni adreça d'origen és un orfe. Aparelleu la marca de temps amb la identitat del parell i l'observació es torna enllaçable: una clau pública persisteix entre canvis d'adreça, mentre que una adreça d'origen pot ser compartida per molts abonats darrere de la traducció de l'operador.

Aquesta asimetria és el que la majoria de debats sobre privadesa passen per alt. L'adreça sembla anònima perquè és compartida, i la clau sembla tècnica perquè és llarga, però la clau és l'identificador estable. Conservar un camp i descartar l'altre canvia el risc de correlació sense canviar la precisió aparent.

La correlació mateixa és la preocupació documentada. Unir una hora de connexió amb un esdeveniment d'inici de sessió del proveïdor, un tiquet de suport o un registre de pagament pot associar una identitat amb activitat fins i tot quan no s'ha escrit mai cap destinació, i per això l'aparellament importa més que el format.

La correlació entre sistemes requereix cura amb els rellotges

Dos sistemes que informen del mateix moment rarament coincideixen fins al segon. Un pot aplicar un desfasament de zona horària a la seva sortida, un altre pot funcionar amb un rellotge desviat uns quants segons, i una màquina virtual pot derivar després d'una suspensió.

Abans de concloure que dos esdeveniments van passar junts, convertiu-los tots dos a la mateixa zona i comproveu el desfasament al registre cru i no a la visualització. Si el buit que mesureu és més petit que la desviació probable, no teniu cap ordenació.

La regla pràctica és conservar la precisió que necessita la tasca de diagnòstic i no més. Un recompte de sessions per hora respon una pregunta de disponibilitat sense guardar un historial per compte, i un agregat es pot retenir molt més temps que les files crues d'on prové.

Llegiu el registre amb ordres, no amb imaginació

Imprimiu els camps sobre els quals raonareu, en les unitats que desa l'eina i no en les que mostra un quadre de comandament.

Aquestes dues línies mostren l'edat del handshake i els comptadors de bytes de cada parell de WireGuard, i després el mateix tipus de material d'un fitxer d'estat d'OpenVPN:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Compareu l'edat amb l'interval de renovació de claus abans de treure una conclusió, i llegiu els comptadors juntament amb ella. Un parell amb un handshake recent i gairebé cap transferència intercanvia keepalives, mentre que un parell amb un handshake antic i comptadors grans va estar ocupat fins que es va aturar. Cap de les dues línies no diu què es va fer, i dir-ho clarament és més exacte que insinuar que la marca de temps demostra una visita.