Κοινή σύνδεση VPN: τι κρύβει και τι δεν κρύβει

Το να μοιράζεσαι μια σύνδεση δεν σε κάνει αόρατο και δεν κάνει τους άλλους χρήστες συναδέλφους σου. Αλλάζει ποιος μπορεί να ταυτοποιηθεί και ποιος μπορεί να αφαιρεθεί, και αφήνει κάθε άλλη ιδιότητα της σύνδεσης εκεί που ήταν. Ο μύθος είναι ότι τα κοινά διαπιστευτήρια συνεπάγονται ανωνυμία ή εμπιστοσύνη· η πραγματικότητα είναι ότι αφαιρούν τη λογοδοσία και προσθέτουν κοινές καταστάσεις αποτυχίας.

Τι ελέγχει πραγματικά το διαπιστευτήριο

Ένα όνομα χρήστη και ένας κωδικός απαντούν σε ένα ερώτημα: επιτρέπεται να εγκατασταθεί αυτή η σύνδεση. Δεν αποφασίζουν τι καταγράφει ο πάροχος, τι μπορούν να προσεγγίσουν άλλοι πελάτες ή αν ο κόμβος εξόδου είναι έντιμος. Αυτές είναι χωριστές ιδιότητες της υπηρεσίας, και ένας κοινός λογαριασμός δεν λέει τίποτα για καμία από αυτές.

Η πύλη εξακολουθεί να βλέπει τη διεύθυνση προέλευσης, τον χρόνο σύνδεσης και τον όγκο κίνησης σύμφωνα με τη δική της πολιτική. Τα κοινά διαπιστευτήρια δεν σβήνουν αυτές τις εγγραφές· μόνο κάνουν δυσκολότερη την απόδοσή τους σε ένα πρόσωπο. Αν ο πάροχος κρατά αρχεία, το αρχείο τώρα δείχνει μια συνεδρία που θα μπορούσε να ανήκει σε οποιονδήποτε κατέχει το διαπιστευτήριο.

Αυτό είναι το αντίθετο της ανωνυμίας, και είναι επίσης το αντίθετο της λογοδοσίας.

Η αφαίρεση και η εναλλαγή επηρεάζουν όλους

Με μοναδικές ταυτότητες μπορείς να απενεργοποιήσεις μια συσκευή και να αφήσεις τις υπόλοιπες να λειτουργούν. Με κοινό διαπιστευτήριο, η εναλλαγή του κωδικού αποσυνδέει όλους τους χρήστες ταυτόχρονα, και η αφαίρεση ενός προσώπου σημαίνει αλλαγή του μυστικού για όλους. Σχεδίασέ το πριν το διανείμεις. Το κόστος δεν είναι μόνο ενόχληση: σπρώχνει τους παρόχους να μην εναλλάσσουν ποτέ, και έτσι ένα διαρρεύσαν διαπιστευτήριο μένει έγκυρο για χρόνια.

Ένα διαπιστευτήριο που δημοσιεύεται σε φόρουμ ή σε ομάδα συνομιλίας πρέπει να θεωρείται δημόσιο από εκείνη τη στιγμή.

Η πρακτική συνέπεια είναι ότι μια κοινή σύνδεση ταιριάζει άσχημα με οτιδήποτε θα έπρεπε να ελέγξεις ή να ανακαλέσεις μεμονωμένα, κάτι που περιλαμβάνει τις περισσότερες εργασιακές εγκαταστάσεις και οποιαδήποτε οικογενειακή ρύθμιση όπου χάνεται μια συσκευή.

Οι άλλοι πελάτες δεν είναι το τοπικό σου δίκτυο

Η προσβασιμότητα πελάτη-προς-πελάτη είναι επιλογή διαμόρφωσης, όχι ιδιότητα της λέξης ιδιωτικό. Κάποιες υπηρεσίες απομονώνουν τους πελάτες μεταξύ τους· άλλες δρομολογούν ανάμεσά τους. Ένας κοινός λογαριασμός δεν σου λέει σε ποια περίπτωση είσαι.

Θεώρησε τους άλλους πελάτες ξένους μέχρι η τεκμηρίωση της υπηρεσίας να πει το αντίθετο. Κράτα ενεργό το τείχος προστασίας του υπολογιστή, μην ενεργοποιείς κοινή χρήση αρχείων στη διεπαφή της σήραγγας και μην αντιμετωπίζεις μια διεύθυνση VPN ως σήμα εμπιστοσύνης για μια εφαρμογή. Η ίδια η σελίδα περιορισμών του WireGuard δηλώνει ρητά ότι το πρωτόκολλο δεν κρύβει τα τελικά σημεία ούτε παρέχει ανωνυμία από μόνο του, και αυτό είναι το σωστό νοητικό μοντέλο για κάθε VPN.

Η σήραγγα προστατεύει τη διαδρομή, όχι τους ομοτίμους.

Τι να ελέγξεις πριν χρησιμοποιήσεις ένα

Διάβασε τη δημοσιευμένη πολιτική του παρόχου για καταγραφή, δικαιοδοσία και διατήρηση, και πρόσεξε τι λείπει. Ένας πάροχος που δεν δηλώνει περίοδο διατήρησης δεν έχει υποσχεθεί καμία. Στη συνέχεια σύγκρινε τη διεύθυνση εξόδου που παίρνεις πραγματικά με την τοποθεσία που διαφημίζει η υπηρεσία.

curl -s https://example.net/cdn-cgi/trace | grep -E '^(ip|loc)='

Αν η ορατή διεύθυνση εξόδου βρίσκεται σε χώρα που δεν περίμενες, το προφίλ και ο ισχυρισμός διαφωνούν, και αξίζει να το λύσεις πριν στείλεις οτιδήποτε μέσω αυτής.

Για μια πληρωμένη υπηρεσία, προτίμησε ένα πρόγραμμα με διαπιστευτήρια ανά συσκευή ακόμη και όταν το μάρκετινγκ πιέζει το κοινό. Κοστίζει λίγη περισσότερη διαχείριση και αγοράζει τη δυνατότητα ανάκλησης.

Μια καλύτερη προεπιλογή για εργασία και οικογένεια

Αν ρυθμίζεις πρόσβαση για μια ομάδα, δημιούργησε μία ταυτότητα ανά πρόσωπο ή ανά συσκευή, κράτα τη λίστα με το ποιος τις κατέχει και αφαίρεσε εγγραφές όταν μια συσκευή αποσύρεται. Είναι περισσότερη δουλειά από το να στείλεις έναν κωδικό, και είναι η διαφορά ανάμεσα σε μια υπηρεσία που μπορείς να λειτουργήσεις και σε ένα μυστικό που δεν μπορείς να ανακαλέσεις. Ο κοινός λογαριασμός είναι βολικός ακριβώς επειδή κρύβει αυτή τη δουλειά, και ο λογαριασμός έρχεται την πρώτη φορά που κάποιος φεύγει. Δώσε τη λίστα σε όποιον χειρίζεται τις αποχωρήσεις, ώστε η αφαίρεση να μην εξαρτάται από το να θυμάσαι ένα μήνυμα συνομιλίας.

Τεκμηρίωσε τη διαδρομή εναλλαγής πριν από το πρώτο περιστατικό, όχι κατά τη διάρκειά του. Γράψε ποιος μπορεί να δημιουργήσει μια ταυτότητα, ποιος μπορεί να ανακαλέσει μία και πού βρίσκεται η λίστα των κατόχων. Αυτές οι τρεις απαντήσεις κάνουν τη ρύθμιση λειτουργική και όχι απλώς βολική.

Μια κοινή σύνδεση έχει στενή χρήση: μια δημόσια έξοδο στην οποία δεν βασίζεσαι για ιδιωτικότητα ή λογοδοσία. Αντιμετώπισέ την έτσι και οι κίνδυνοι γίνονται προβλέψιμοι.