Τι μπορεί και τι δεν μπορεί να αποδείξει ένα αρχείο καταγραφής VPN για την περιήγηση

Πριν επιλέξετε συλλέκτη καταγραφών, αποφασίστε ποιο γεγονός πρέπει να τεκμηριώσει ο έλεγχος. Το ερώτημα ποια συνεδρία VPN επικοινώνησε με μια διεύθυνση προορισμού είναι διαφορετικό από το ερώτημα ποιο άτομο άνοιξε μια συγκεκριμένη σελίδα. Και τα δύο απαιτούν διαφορετικές εγγραφές, διαφορετικές συνδέσεις και διαφορετικά επίπεδα βεβαιότητας. Ένα αρχείο καταγραφής σύνδεσης OpenVPN απαντά στο πρώτο και δεν μπορεί να απαντήσει στο δεύτερο.

Ονομάστε το γεγονός πριν επιλέξετε συλλέκτη

Μια εγγραφή συνεδρίας δείχνει μια αποδεκτή ταυτότητα, ώρα έναρξης και λήξης και μια διεύθυνση που εκχώρησε ο διακομιστής σύμφωνα με τη δική του πολιτική. Ένα αρχείο καταγραφής επιλυτή δείχνει ότι ένα όνομα αναζητήθηκε σε αυτόν τον επιλυτή. Μια εγγραφή ροής δείχνει διευθύνσεις, θύρες, πρωτόκολλο και χρόνο, και ένα αρχείο καταγραφής εφαρμογής δείχνει τη συναλλαγή που χειρίστηκε πραγματικά η εφαρμογή. Κανένα από τα τέσσερα δεν υποκαθιστά άλλο.

Καθένα από αυτά τεκμηριώνει ένα γεγονός και αφήνει τα υπόλοιπα ανοιχτά. Το να γράψετε πρώτα το ερώτημα σας εμποδίζει να συνθέσετε μια ιστορία που τα δεδομένα δεν μπορούν να στηρίξουν.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Η πρώτη εντολή δείχνει γεγονότα συνεδρίας από το ημερολόγιο της υπηρεσίας. Η δεύτερη εκτυπώνει την τρέχουσα λίστα πελατών με τις εκχωρημένες διευθύνσεις, που είναι η αντιστοίχιση από την οποία εξαρτάται η σύνδεση του ελέγχου. Η τρίτη δείχνει ζωντανή κατάσταση ροής, χρήσιμη μόνο όσο υπάρχει ακόμη η σύνδεση.

Μια αναζήτηση δεν είναι επίσκεψη

Ένα πρόγραμμα περιήγησης επιλύει ονόματα εικαστικά, αποθηκεύει απαντήσεις και τις επαναχρησιμοποιεί χωρίς να ρωτήσει ξανά τον επιτηρούμενο επιλυτή. Ένα όνομα σε αρχείο καταγραφής επιλυτή αποδεικνύει επομένως αναζήτηση, όχι επίσκεψη. Το DNS μέσω HTTPS διευρύνει αυτό το κενό, επειδή ένα πρόγραμμα περιήγησης ρυθμισμένο γι' αυτό στέλνει τις ερωτήσεις του εκεί όπου ο συνηθισμένος καταγραφέας σας δεν τις βλέπει ποτέ.

Οι διευθύνσεις προορισμού δεν είναι καλύτερες από μόνες τους. Μια διεύθυνση μπορεί να φιλοξενεί πολλούς άσχετους ιστότοπους, το αντίστροφο DNS είναι εικασία και όχι ανακατασκευή, και ένα όνομα κεντρικού υπολογιστή που φαίνεται κατά τη χειραψία TLS δεν είναι η διαδρομή του αιτήματος μέσα στην κρυπτογραφημένη συνεδρία.

Για ακριβείς συναλλαγές χρειάζεστε τις δικές της εγγραφές γεγονότων της εφαρμογής ή σχεδίαση διαμεσολαβητή που υποστηρίζεται ρητά για καταγραφή. Μια σήραγγα CONNECT δίνει στον διαμεσολαβητή τον προορισμό και τον όγκο, όχι τις διαδρομές σελίδων μέσα της. Η διαχειριστική πρόσβαση στο δίκτυο δεν είναι άδεια να αντικαταστήσετε σιωπηλά το μοντέλο εμπιστοσύνης της εφαρμογής.

Συνδυάστε ταυτότητα και χρόνο πριν ονομάσετε ένα πρόσωπο

Μια εγγραφή ροής με εσωτερική διεύθυνση προέλευσης δεν σημαίνει τίποτα μέχρι η διεύθυνση να συνδεθεί με μια συνεδρία την ίδια στιγμή. Οι διευθύνσεις επαναχρησιμοποιούνται, και η ίδια διεύθυνση μπορεί να ανήκε σε άλλη συνεδρία μια ώρα νωρίτερα. Η στατική εκχώρηση είναι ένας τρόπος να κρατήσετε τη συσχέτιση, όχι ο μόνος.

Τα όρια μετάφρασης αποδυναμώνουν περαιτέρω τη σύνδεση. Αν πολλές συσκευές μοιράζονταν ήδη μία διεύθυνση προέλευσης πριν από το σημείο παρατήρησής σας, το καλύτερο που μπορείτε να προσδιορίσετε είναι η κοινή συνεδρία πύλης και όχι μία συσκευή. Ένα πιστοποιητικό ή λογαριασμός που χρησιμοποιούν πολλά άτομα έχει το ίδιο αποτέλεσμα.

Καταγράψτε ζώνες ώρας, πηγές ρολογιού, σημεία παρατήρησης και κάθε βήμα μετάφρασης. Οι ελλιπείς εγγραφές μπορεί να σημαίνουν ότι μια εγγραφή ροής έληξε, ότι ένας αισθητήρας παρακάμφθηκε ή ότι ένα αρχείο καταγραφής εφαρμογής ήταν κλειστό. Η απουσία δεν είναι απόδειξη ότι δεν συνέβη τίποτα.

Στη συνέχεια ορίστε τα ελάχιστα πεδία, τους επιτρεπόμενους αναγνώστες και την περίοδο διατήρησης για τον δηλωμένο σκοπό. Η συσχέτιση και η εσφαλμένη απόδοση είναι ζητήματα σχεδίασης και όχι ύστερη σκέψη, και τα μεταδεδομένα που ταυτοποιούν πρόσωπα αξίζουν την ίδια προστασία με την αντιστοίχιση ταυτότητας από την οποία εξαρτώνται.

Δοκιμάστε τον έλεγχο με δραστηριότητα που ελέγχετε

Δημιουργήστε επιτρεπόμενη κίνηση της οποίας τη συνεδρία και την εφαρμογή γνωρίζετε ήδη, και μετά ελέγξτε τι κατέγραψε πραγματικά κάθε εγγραφή. Εκτελέστε αναζήτηση χωρίς φόρτωση της σελίδας, φορτώστε σελίδα από την προσωρινή μνήμη και ανοίξτε σύνδεση μέσω διαμεσολαβητή, και δείτε ποια γεγονότα εμφανίζονται.

Αναφέρετε το γεγονός που στηρίζουν τα στοιχεία και πείτε τι δεν καλύπτουν. Μια μέτρια εγγραφή με δηλωμένο εύρος αντέχει στην ανασκόπηση· ένα φιλόδοξο ιστορικό περιήγησης φτιαγμένο από εικασίες δεν αντέχει.