Sut i wahanu cymorth protocol VPN od ymddiriedaeth yn y gweithredwr
Mae protocol yn ardystio mecaneg y twnnel, nid y cwmni y tu ôl iddo. Barnwch gadwraeth, data cyfrif ac archwiliadau ar sail yr hyn y mae'r gweithredwr yn ei gyhoeddi.
Mae dau dab darparwr ar agor, mae'r ddau yn hysbysebu WireGuard, ac mae'r gymhariaeth wedi aros ar un frawddeg: mae'r twnnel yn gryf, felly rhaid bod y gwasanaeth yn iawn. Casgliad anghywir yw hynny. Mae'r protocol yn diffinio sut mae dau gymar yn amgryptio ac yn dilysu, ond nid yw'n dweud dim am bwy sy'n rhedeg y pwynt diwedd, beth mae'r system gyfrifon yn ei storio, na sut mae'r cwmni'n ateb cais cyfreithiol. Rhaid i chi wahanu'r cwestiynau hynny cyn i fathodyn eu hateb drosoch.
Beth y gall label protocol ei ardystio a beth na all
Mae WireGuard yn nodi llawgydiad wedi'i adeiladu ar Noise, set sefydlog o elfennau cyntefig modern, a model llwybro lle mae AllowedIPs yn penderfynu beth sy'n mynd i mewn i'r twnnel. Mae'r rheini'n warantau go iawn ynglŷn â fformatau negeseuon a chyfnewid allweddi, ac maen nhw'n werth eu cael. Maen nhw hefyd yn warantau ynglŷn â chod, nid ynglŷn â'r peiriant y mae'r cod hwnnw'n rhedeg arno.
Mae'r gweithrediad yn dal i adael dewisiadau. Gall darparwr lwytho'r modiwl yn y cnewyllyn neu gludo adeiladwaith yn y gofod defnyddiwr, gwthio DNS drwy'r twnnel neu ei adael ar y datryswr lleol, a chylchdroi allweddi ar ei amserlen ei hun. Nid yw'r un o'r dewisiadau hynny'n ymddangos ar label y protocol, ac mae pob un yn newid yr hyn y gall y gwasanaeth ei arsylwi.
OpenVPN sy'n gwneud y bwlch yn haws i'w weld. Gellir ffurfweddu ei lawgydiad TLS a'i fodel tystysgrifau'n dda neu'n wael, gyda tls-auth neu hebddo, gyda seiffrau modern neu â chwympiad cydnawsedd. Gall dau wasanaeth ill dau ddweud OpenVPN a gorffen ag amlygiad hollol wahanol. Mae'r dudalen protocol WireGuard yn fanwl gywir am y cryptograffeg ac yn dawel am y gweithredwr, a dyna'n union y ffin i'w chadw mewn cof.
Yr hyn na all ond y gweithredwr ei ateb
Dechreuwch gyda pherchnogaeth. A yw'r pwynt diwedd ar galedwedd y mae'r darparwr yn ei reoli, ar VPS wedi'i rentu, neu ar beiriant gwirfoddol yn fflat rhywun? Mae'r ateb yn penderfynu pwy all gopïo disg, pwy sy'n clytio'r cnewyllyn, a phwy sy'n sylwi ar fewnbyniad rhyfedd. Ni all cymhariaeth protocol gyrraedd dim o hynny.
Nesaf daw cofnodion y cyfrif a'r taliadau. Mae cyfeiriad e-bost, stamp amser adnewyddu, olion bysedd cerdyn a thocyn cymorth i gyd yn byw y tu allan i'r twnnel. Felly hefyd y datryswr: os yw'r darparwr yn rhedeg ei DNS ei hun, mae'n gweld enwau hyd yn oed pan fo'r tudalennau ar HTTPS. Gofynnwch am gadwraeth mewn diwrnodau, nid am y gair minimol.
Trefnwch yr atebion mewn dau golofn, oherwydd maen nhw'n cario pwysau gwahanol. Mae un golofn yn disgrifio'r meddalwedd; mae'r llall yn addewid y mae'n rhaid i'r gwasanaeth ei chadw.
| Question | Protocol tells you | Operator must document |
|---|---|---|
| Who holds the server private key? | How the key exchange works | Key generation, storage and rotation |
| Which addresses connected when? | Nothing | Whether handshake or session metadata is retained |
| What happens to a legal request? | Nothing | Disclosure policy, jurisdiction and response history |
| Who can read diagnostics? | Nothing | Support access rules and retention limits |
Ni ellir gwirio addewidion ond yn erbyn dogfennau. Nid yw darparwr na all enwi ei gyfnod cadwraeth yn datgelu nam protocol; mae'n dangos i chi ansawdd ei gofnodion, a dyna'r union beth yr oeddech yn ceisio'i farnu.
Gwiriwch y proffil y mae'r cleient yn ei gymhwyso mewn gwirionedd
Y cleient yw'r lle mae proffil haniaethol yn troi'n lwybrau. Ar Linux gyda wg-quick, mae'r ffurfweddiad wedi'i stripio yn dangos yn union beth fydd yn cael ei gymhwyso, gan gynnwys y llinellau DNS ac AllowedIPs y gall GUI eu cuddio y tu ôl i dogl.
sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0Darllenwch y canlyniad fel tri ffaith ar wahân. Mae AllowedIPs o 0.0.0.0/0 yn golygu bod y llwybr diofyn cyfan yn mynd i mewn i'r twnnel; mae llinell DNS yn golygu bod enwau'n mynd i'r datryswr y mae'r proffil yn ei enwi; mae llawgydiad diweddar yn golygu bod y sesiwn yn fyw. Mae keepalive parhaus yn dweud wrthych fod y cleient yn cadw mapiad NAT yn agored, sy'n ddewis ymddygiad, nid yn sgôr diogelwch.
Mae un cafeat yn bwysig yma. Mae'r gorchmynion hyn yn gwirio'r twnnel sydd gennych, nid y polisi y tu ôl iddo. Mae llawgydiad perffaith yn profi bod y cryptograffeg yn gweithio; nid yw'n profi bod cofnodion cysylltiadau mis diwethaf wedi'u dileu, oherwydd nid yw'r digwyddiad hwnnw'n gadael unrhyw ôl ar eich peiriant.
Tystiolaeth sy'n goroesi tudalen farchnata
Gofynnwch am adroddiad archwilio annibynnol a darllenwch ei gwmpas cyn ei logo. Mae adroddiadau'n enwi'r seilwaith, y cyfnod a'r eithriadau; mae llawer yn cwmpasu gweinyddion VPN tra'n gadael porth y cyfrif, bilio ac offer cymorth y tu allan i'r adolygiad. Mae archwiliad sy'n eithrio'r systemau sy'n dal eich cyfeiriad e-bost yn ateb cwestiwn culach nag y mae'r dudalen werthu'n ei awgrymu.
Yna darllenwch y polisi preifatrwydd am gategorïau yn hytrach nag ansoddeiriau. Mae polisi defnyddiol yn enwi'r hyn a gesglir, pam, ac am ba hyd, ac mae'n gwahaniaethu metadata cysylltiad oddi wrth ddata cyfrif. Mae adroddiad tryloywder, os oes un, yn dangos a oes gan y darparwr broses ar gyfer ceisiadau o gwbl, er mai dim ond cyhyd ag y mae'r endid sy'n eu cyhoeddi yn ddibynadwy y mae ei ffigurau.
Mae cod agored yn helpu ar haen y cleient ac yn stopio yno. Mae cleient darllenadwy'n profi beth mae'ch dyfais yn ei anfon; nid yw'n profi beth mae'r gweinydd yn ei gadw. Mae adeiladwaith atgynhyrchadwy yn culhau'r bwlch rhwng cod cyhoeddedig a chod a gludwyd, ond maen nhw'n dal i ddisgrifio meddalwedd, nid gweithrediadau.
Mae prawf byr o dri dogfennau'n hidlo'r rhan fwyaf o honiadau: polisi â chategorïau wedi'u henwi a chadwraeth, archwiliad cyfredol â chwmpas datganedig, ac ateb ysgrifenedig gan gymorth am un senario concrit. Os yw unrhyw un o'r tri ar goll, triniwch y honiad penodol hwnnw fel un heb ei wirio yn hytrach nag fel un ffug.
Ble mae'r llinell yn gorwedd yn ymarferol
Gyda phwynt diwedd gwirfoddol, barnwch y gwesteiwr unigol. Nid yw enw da'r prosiect meddalwedd yn trosglwyddo i bob peiriant sy'n ei redeg, ac efallai nad oes gan y person sy'n gweithredu'r peiriant hwnnw unrhyw berthynas â'r prosiect o gwbl. Mae rhwydweithiau masnachol yn trefnu cyfrifoldeb yn wahanol, ond maen nhw'n dal i'w grynhoi mewn un endid.
Mae hunangynnal yn troi'r cwestiwn. Chi sy'n dod yn weithredwr, felly mae cymorth protocol wedi'i setlo ac mae ymddiriedaeth yn dod yn glytio, yn trin allweddi ac yn cadw logiau eich hun. Mae hynny'n ateb dilys i rai darllenwyr, nid yn ffordd osgoi.
Ar gyfer gwasanaeth â thâl, mae'r contract a'r awdurdodaeth yn rhan o'r cynnyrch. Gall newidiadau perchnogaeth, caffaeliadau a rheolau datgelu lleol newid rhwymedigaethau'r gweithredwr heb gyffwrdd â'r protocol, a dyna pam mae cymhariaeth sy'n stopio ar y daflen fanyleb yn hen.
Ysgrifennwch y tair ffaith na allech eu gwirio o'r wefan. Anfonwch nhw at gymorth a chadw'r ateb. Mae ateb penodol yn symud y gwasanaeth i gategori gwahanol, ac mae distawrwydd hefyd yn ateb sy'n perthyn i'ch cymhariaeth.