Hvad et offentligt VPN-værtsnavn kan og ikke kan bevise

Værtsnavne og nationalflag ligner fakta om en server, og ingen af delene er det. Et navn peger på adresser, der kan ændre sig, og ordene i det blev valgt af den, der registrerede det. Protokol, udgangsplacering og logningsadfærd har hver især brug for deres eget bevis. Start med det, navnet faktisk opløses til, og afgør derefter, hvad der stadig er ukendt.

Navnet opløses, og intet andet er afgjort

Et værtsnavn er en peger i DNS, og posterne bag det kan variere efter resolver, efter tid på dagen og efter den adressefamilie, klienten foretrækker. To personer, der læser samme fortegnelse, kan helt legitimt nå forskellige maskiner. Navnet fortæller, hvad du skal spørge om, ikke hvad der svarer.

Opslagsresultater ændrer sig også uden varsel, hvilket betyder noget, når en profil fastlåser en adresse i stedet for navnet. En profil, der hardcoder den gamle adresse, bliver ved med at fejle, efter at operatøren flytter tjenesten, og fejlen ligner en blokeret port. Opbevar de opløste adresser ved siden af profilen, så en senere sammenligning har en baseline. Intet af det siger noget om, hvem der driver den anden ende.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport og identitet er separate spørgsmål

En åben webside på værtsnavnet tester én lytter på én port. OpenVPN, IPsec og SSTP lytter andre steder, på deres egne porte og protokoller, så en tilgængelig webserver siger intet om dem.

Fortegnelsesposten og profilen skal stemme overens om transport, port og legitimationsoplysninger. Identitet verificeres af certifikatkæden eller peer-nøglens fingeraftryk, som klienten blev konfigureret med, ikke af værtsnavnets stavemåde. Et navn med et kendt projektord beviser kun, at nogen registrerede det. Læs det certifikat, tjenesten præsenterer, og sammenlign udsteder og emne med det, profilen forventer.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Landsord er ikke en placeringsrevision

Et mærke som jp eller de i en fortegnelse er en registrering, og IP-geolokationsdatabaser er uenige ofte nok til, at ingen af dem bør behandles som den absolutte sandhed. Delt hosting, anycast og simpel fejlkonfiguration flytter alle den observerede placering væk fra mærket.

Den praktiske test er applikationens egen vej: hvilken adresse den når, og hvad en udgangsadressekontrol viser indefra sessionen. En observeret udgangsadresse er en egenskab ved ruten i det øjeblik, ikke en garanti knyttet til navnet. Frivillige fortegnelser tilføjer endnu et lag, fordi den, der registrerede en post, ikke behøver at være den, der driver maskinen. Skriv ned, hvad du målte og hvornår, i stedet for hvad posten lovede.

Kontrollér den tilbudte tjeneste, derefter operatøren

Når transport og identitet er afgjort, er det resterende spørgsmål operatørens adfærd, og det kræver dokumentation frem for slutninger. En privatlivspolitik, en offentliggjort kontakt og en gennemsigtighedsmeddelelse er bevis på hensigt; ingen af dem beviser praksis, og fraværet af alle tre er også information.

For en offentlig eller frivilligt drevet node bør du antage, at udgangen deles, og at den, der driver den, kan se, hvad der passerer igennem. Den antagelse, ikke værtsnavnet, bør afgøre, hvad du sender gennem tunnelen.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Behold navnet til det, det er godt til: at finde et endepunkt og oprette forbindelse til det. Alt derudover skal testes separat, på den dag det betyder noget.