Co ukazují protokoly routeru, když je datová část VPN šifrovaná

Šifrování rozhoduje, zda lze obsah paketu přečíst, a nic neříká o tom, zda se zapíše existence paketu, jeho velikost a časování. Router, který přeposílá šifrovaný tunel, vidí tok, který musí doručit, a může tento tok počítat, opatřit časovým razítkem a přiřadit. Porovnejte, co zaznamenává domácí brána, s tím, co zaznamenává síť výše, a rozdíl se ukáže v tom, která pole má každá důvod si ponechat.

Užitečné je právě toto srovnání, protože se oba záznamy v debatách o soukromí neustále pletou. Odpovídají na různé otázky a uchovávají se po různou dobu.

Dva pozorovatelé, dva různé záznamy

Brána na vašem okraji ví, které místní rozhraní tok použil, a když sama přiděluje adresy, které zařízení tehdy tuto adresu mělo. Může také vidět, který překladač jste dotazovali a se kterým koncovým bodem jste komunikovali. Výše v síti přichází stejný provoz přeložený, takže jiná síť vidí jednu veřejnou adresu sdílenou celou domácností, což je funkce popsaná v RFC 3022. Ani jeden pozorovatel nečetl obsah a ani jeden záznam neobsahuje ten druhý.

Součty bajtů patří do této kategorie také. Počítadlo objemu zaznamená, že provoz prošel, aniž by zaznamenalo, co to bylo.

Která pole po sobě skutečně zanechávají stopu

Co dané zařízení ukládá, závisí na tom, co je zapnuté, takže každé univerzální tvrzení si zaslouží nedůvěru. Tabulka uvádí pole, která mají v praxi význam, a co každé z nich znamená.

Čtěte tabulku po řádcích, ne po sloupcích, protože každý řádek podporuje jiný závěr. Adresa koncového bodu ukazuje, že tunel existuje, ne co přenášel. Mapování místních zařízení je řádek, který spojuje tok s osobou, a to je řádek, který domácí brána uchovává, zatímco pozorovatel výše obvykle ne.

Řádek obsahu zůstává v obou sloupcích stejný a to je část, kterou šifrování skutečně zaručuje. Všechno ostatní závisí na volbách protokolování.

Router, který tunel ukončuje, vidí víc

Brána, která přeposílá cizí šifrovaný provoz, a router, který tunel sám provozuje, zaujímají různé pozice. Druhý uchovává stav tunelu a klíče k němu, a proto může vidět vnitřní adresy a cíle uvnitř tunelu. Pokud tento router také překládá adresy pro vnitřní síť, jeho protokoly mohou spojit zařízení s vnitřním cílem v jednom záznamu. To je jiné odhalení než vnější tok a vytváří je stejná krabice.

Srovnejte to s klientským notebookem za obyčejnou bránou: brána zaznamenává vnější tok a vlastní protokol klienta uchovává vnitřní detail. Ptát se, kdo drží kterou polovinu obrázku, je produktivnější než ptát se, zda síť vidí skrz šifrování. Poctivá odpověď na druhou otázku je ne a také to není otázka, která rozhoduje o vaší expozici.

Zkontrolujte, co zaznamenává vaše vlastní zařízení

Podívejte se na vlastní vybavení, než začnete uvažovat o cizím. Níže uvedené příkazy vypisují pravidla firewallu s počítadly, dosud živé položky spojení a řádky protokolu zmiňující spojení. Platí pro router založený na Linuxu, z něhož pochází většina spotřebitelského firmwaru.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Sada pravidel s počítadly vám řekne, co je zařízení ochotné počítat, a tabulka spojení ukazuje živé toky, ne historii. Řádky protokolu potvrzují, zda firmware vůbec zapisuje události spojení, a to rozhoduje většinu sporu. Prázdný výstup u všech čtyř příkazů znamená, že krabice přeposílá bez zaznamenávání, a i to je odpověď. Zopakujte kontrolu na klientovi, protože jeho protokol uchovává druhou polovinu obrázku.

Zaznamenejte zapnuté funkce a nastavení uchovávání vedle výstupů. Stejný hardware může být dnes tichý a upovídaný po aktualizaci firmwaru, která zapne telemetrii.