A all VPN taledig awdurdodi sesiynau heb eich cyfrif?
Gall tocynnau na ellir eu cysylltu wahanu'r gwiriad cymhwyster oddi wrth y sesiwn ei hun. Y peth sy'n cyfrif yw'r cynllun ar gyfer cyhoeddi ac adbrynu, nid y label ar y sgrin fewngofnodi.
Nid yw talu am dwnnel yn golygu bod yn rhaid dangos hunaniaeth bilio ar bob cysylltiad. Gall cynllun wirio cymhwyster unwaith, rhoi tocynnau cryptograffig i'r cleient, a gadael i'r porth dderbyn tocyn yn ddiweddarach heb weld y cyfrif y tu ôl iddo. A yw hynny wir yn cuddio rhywbeth mae'n dibynnu ar y dewisiadau cyhoeddi ac adbrynu, felly triniwch ef fel ymarfer manyleb â phedair adran yn hytrach na nodwedd rydych chi'n ei throi ymlaen.
Gwahanwch y cam prynu oddi wrth y cam sesiwn
Mae pensaernïaeth Privacy Pass yn RFC 9576 yn rhoi'r geirfa: cleient, atestydd, cyhoeddwr a tharddiad. Mae'r cleient yn profi rhyw briodwedd i'r cyhoeddwr ac yn derbyn tocynnau; yn ddiweddarach mae'n cyflwyno un i'r tarddiad, sy'n penderfynu a fydd yn ei wasanaethu. O'i gymhwyso i VPN, gallai'r briodwedd a atestir fod yn un uned mynediad.
Mae bilio yn dal i weld beth bynnag y mae ei broses ei hun yn ei angen, ac nid oes neb yn honni fel arall. Y nod culach yw na ellir cysylltu'r adbryniad diweddarach yn ôl â'r pryniant a gynhyrchodd y tocyn. Mae honno'n briodwedd benodol y gellir ei phrofi, a honno yw'r un sy'n werth ei hysgrifennu.
Nid yw llinyn cludo sy'n edrych yn hap yn darparu hynny. Os yw'r cyhoeddwr yn storio'r gwerth wrth gofnod cwsmer a bod modd i'r porth ofyn am y mapio hwnnw, mae'r ddau ryngweithiad yn cael eu cysylltu gan gronfa ddata yn hytrach na chan cryptograffeg. Rhaid i'r gystrawen wneud y cyhoeddwr yn anabl i ateb y cwestiwn hwnnw, a rhaid i'r defnydd atal y cyhoeddwr a'r porth rhag cyfuno eu safbwyntiau.
Penderfynwch beth mae un tocyn yn ei awdurdodi
Nid yw «mae un tocyn yn prynu mynediad» yn ateb fawr ddim yn weithredol. Ai un cysylltiad yw'r uned, lwfans amser, neu gyfaint? A all cleient a gollodd ei ymateb ailddechrau'r un grant? Beth sy'n digwydd pan fydd dyfais yn ailgysylltu yn ystod newid rhwydwaith? Mae'r atebion hynny'n penderfynu a yw'r cynllun yn ddefnyddiadwy, ac mae gan bob un ohonynt ganlyniad i breifatrwydd.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Dewiswch un yn fwriadol ac ysgrifennwch yr ymddygiad methiant wrth ei ymyl. Mae cleient sy'n ceisio eto â hawl newydd ar ôl i'r amser ddod i ben yn defnyddio uned arall, sydd ar yr un pryd yn syndod bilio ac yn signal preifatrwydd.
Ysgrifennwch y polisi ailddefnyddio a dirymu
Dirymu yw'r man lle mae cynlluniau dienw fel arfer yn torri eu haddewid eu hunain. Mae canslo tanysgrifiad a dirymu tocynnau a gyhoeddwyd eisoes yn wahanol weithrediadau, ac nid yw porth sy'n gwneud chwiliad cyfrif yn dawel i benderfynu yn ddienw mwyach ar y pwynt hwnnw.
Dewiswch ddyddiad dod i ben, terfyn cyhoeddi a stori ddirymu sy'n cyd-fynd â'i gilydd. Yna archwiliwch gofnodion y porth ei hun am feysydd sy'n ailddwyn y cyswllt a ddilewyd gennych.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Mae'r chwiliad hwnnw'n rhestru ffeiliau log sy'n cynnwys meysydd tocyn neu gyfrif, a dyna'r man cyntaf y mae cynllun gofalus yn gollwng yn ymarferol. Mae cofnod sesiwn sy'n storio gwerth y tocyn wrth ddynodydd cyfrif yn chwalu'r gystrawen gyfan, ac mae fel arfer yn dod drwy newid dadfygio na aeth neb yn ôl ato.
Diffiniwch hefyd beth mae'r porth yn ei gadw ar ôl i sesiwn ddod i ben. Mae hyd, beitiau a phen y llwybr yn ddefnyddiol i weithrediadau, ac mae pob un ohonynt yn ddarn o'r pos y byddai arsylwr yn hoffi ei gael. Cadwch y cyfnod cadw'n fyr a'r rhestr meysydd yn fyr, yna adolygwch y ddau pan fydd newid dadfygio yn ychwanegu colofn. Nid oes neb yn sylwi ar faes log newydd nes ei fod wedi bod yno am flwyddyn.
Datganwch yr haeriad, yna'r arsylwadau sy'n parhau
Ysgrifennwch yr haeriad preifatrwydd mewn un frawddeg gyda'i ragdybiaethau: pa barti y mae'n rhaid iddo fod yn anabl i gysylltu pa gyd-destunau, a beth sy'n digwydd os yw'r cyhoeddwr a'r porth yn cymharu nodiadau. Mae cynllun sy'n goroesi'r frawddeg honno yn adolygadwy; un a ddisgrifir yn unig fel «gwybodaeth sero» yw ddim.
Yna rhestrwch yr hyn sy'n aros yn weladwy waeth beth. Mae cyfeiriadau ffynhonnell, amseroedd cysylltu, meintiau pecynnau a'r ffaith syml bod pryniant wedi digwydd yn fuan cyn i'r unig gysylltiad newydd ymddangos i gyd y tu allan i'r cryptograffeg. Mae un cwsmer sy'n prynu un uned ac yn cysylltu unwaith yn gysylltadwy drwy amseru yn unig, ac nid oes unrhyw gynllun tocynnau yn newid hynny.
Y canlyniad gonest yw cyswllt culach rhwng cyfrif a defnydd, nid sesiwn anweledig. Mae hynny'n dal yn werth ei adeiladu, cyhyd â bod y ddogfennaeth yn dweud hynny ac mae'r cofnodion gweithredol yn cyfateb i'r haeriad.