Hvad routerloggen viser, når VPN-lasten er krypteret
Kryptering skjuler lasten, ikke strømmen. Sammenlign, hvad en hjemmegateway registrerer, med hvad en observatør længere oppe gemmer, og tjek derefter dine egne tællere.
Kryptering afgør, om en pakkes indhold kan læses, og siger intet om, hvorvidt pakkens eksistens, størrelse og timing bliver skrevet ned. En router, der videresender en krypteret tunnel, ser en strøm, den skal levere, og den kan tælle, tidsstemple og tilskrive den strøm. Sammenlign, hvad en hjemmegateway registrerer, med hvad et netværk længere oppe registrerer, og forskellen viser sig at handle om, hvilke felter hver af dem har grund til at gemme.
Den sammenligning er den nyttige, fordi de to registreringer konstant blandes sammen i privathedsdebatter. De besvarer forskellige spørgsmål og opbevares i forskellige perioder.
To observatører, to forskellige registreringer
Gatewayen ved din kant ved, hvilken lokal grænseflade strømmen brugte, og når den selv uddeler adresser, hvilken enhed der havde den adresse på det tidspunkt. Den kan også se, hvilken resolver du forespurgte, og hvilket endepunkt du kontaktede. Længere oppe ankommer den samme trafik oversat, så et andet netværk ser én offentlig adresse, som hele husstanden deler, hvilket er den funktion, der er beskrevet i RFC 3022. Ingen af observatørerne læste lasten, og ingen af registreringerne indeholder den anden.
Bytetotaler hører også til denne kategori. En volumenoptælling registrerer, at trafik passerede, uden at registrere, hvad det var.
Hvilke felter efterlader faktisk et spor
Hvad en given enhed gemmer, afhænger af, hvad der er aktiveret, så enhver universel påstand fortjener mistanke. Tabellen viser de felter, der betyder noget i praksis, og hvad hvert af dem indebærer.
| Field | Home gateway | Upstream observer |
|---|---|---|
| VPN endpoint address | Yes, as a destination | Yes |
| Local device mapping | Only where it assigns the address | No |
| Byte and packet counts | If statistics are enabled | Usually |
| Flow start and end | If connection logging is on | Usually |
| DNS queries | If the resolver is local | Only if the resolver is theirs |
| Payload contents | No | No |
Læs tabellen række for række i stedet for kolonne for kolonne, fordi hver række understøtter en anden konklusion. Endepunktsadressen viser, at der findes en tunnel, ikke hvad den transporterede. Lokal enhedsmapping er den række, der binder en strøm til en person, og det er den række, en hjemmegateway gemmer, mens en observatør længere oppe normalt ikke gør.
Lastrækken er den samme i begge kolonner, og det er den del, krypteringen faktisk garanterer. Alt andet afhænger af logningsvalg.
En router, der afslutter tunnelen, ser mere
En gateway, der videresender andres krypterede trafik, og en router, der selv kører tunnelen, indtager forskellige positioner. Den anden holder tunnelstatus og nøglerne til den og kan derfor se indre adresser og destinationerne inde i tunnelen. Hvis den router også oversætter adresser for det indre netværk, kan dens logge knytte en enhed til en indre destination i én registrering. Det er en anden afsløring end den ydre strøm, produceret af den samme boks.
Sammenlign det med en laptopklient bag en almindelig gateway: gatewayen registrerer den ydre strøm, og klientens egen log gemmer den indre detalje. At spørge, hvem der har hvilken halvdel af billedet, er mere produktivt end at spørge, om netværket kan se gennem kryptering. Det ærlige svar på det andet spørgsmål er nej, og det er heller ikke det spørgsmål, der afgør din eksponering.
Tjek, hvad din egen enhed registrerer
Se på dit eget udstyr, før du ræsonnerer om andres. Kommandoerne nedenfor viser firewallregler med tællere, stadig levende forbindelsesposter og loglinjer, der nævner en forbindelse. De gælder for en Linux-baseret router, som størstedelen af forbrugerfirmware stammer fra.
nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -lEt regelsæt med tællere fortæller dig, hvad enheden er villig til at tælle, og forbindelsestabellen viser levende strømme i stedet for historik. Loglinjer bekræfter, om firmwaren overhovedet skriver forbindelseshændelser, og det afgør det meste af diskussionen. Tomt output på alle fire kommandoer betyder, at boksen videresender uden at registrere, og det er også et svar. Gentag tjekket på klienten, fordi dens log gemmer den anden halvdel af billedet.
Noter de aktiverede funktioner og opbevaringsindstillingen ved siden af outputtet. Det samme hardware kan være tavst i dag og snaksageligt efter en firmwareopdatering, der slår telemetri til.