Τι μπορεί και τι δεν μπορεί να αποδείξει ένα όνομα κεντρικού υπολογιστή δημόσιου VPN

Ένα όνομα κεντρικού υπολογιστή εντοπίζει ένα άκρο και λίγα άλλα. Δεν αποδεικνύει το πρωτόκολλο, τη θέση εξόδου ή την πολιτική διατήρησης του φορέα, σε καμία δεδομένη ημέρα.

Τα ονόματα κεντρικών υπολογιστών και οι σημαίες χωρών μοιάζουν με γεγονότα για έναν διακομιστή, και κανένα από τα δύο δεν είναι. Ένα όνομα αντιστοιχεί σε διευθύνσεις που μπορούν να αλλάξουν, και τις λέξεις μέσα του τις διάλεξε όποιος το κατοχύρωσε. Το πρωτόκολλο, η θέση εξόδου και η συμπεριφορά καταγραφής χρειάζονται το καθένα τα δικά του στοιχεία. Ξεκινήστε από το τι πραγματικά επιλύεται το όνομα, και μετά αποφασίστε τι παραμένει άγνωστο.

Το όνομα επιλύεται, και τίποτε άλλο δεν έχει κριθεί

Ένα όνομα κεντρικού υπολογιστή είναι δείκτης στο DNS, και οι εγγραφές πίσω του μπορούν να διαφέρουν ανάλογα με τον επιλυτή, την ώρα της ημέρας και την οικογένεια διευθύνσεων που προτιμά ο πελάτης. Δύο άνθρωποι που διαβάζουν την ίδια καταχώριση καταλόγου μπορούν απολύτως νόμιμα να φτάσουν σε διαφορετικά μηχανήματα. Το όνομα σας λέει τι να ζητήσετε, όχι τι θα απαντήσει.

Τα αποτελέσματα αναζήτησης αλλάζουν επίσης χωρίς προειδοποίηση, κάτι που έχει σημασία όταν ένα προφίλ καρφιτσώνει μια διεύθυνση αντί για το όνομα. Ένα προφίλ που έχει ενσωματωμένη την παλιά διεύθυνση συνεχίζει να αποτυγχάνει αφού ο φορέας μετακινήσει την υπηρεσία, και η αποτυχία μοιάζει με φραγμένη θύρα. Κρατήστε τις διευθύνσεις που επιλύθηκαν δίπλα στο προφίλ, ώστε μια μεταγενέστερη σύγκριση να έχει βάση. Τίποτε από αυτά δεν λέει ποιος διαχειρίζεται το άλλο άκρο.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Η μεταφορά και η ταυτότητα είναι ξεχωριστά ερωτήματα

Μια ανοιχτή ιστοσελίδα στο όνομα κεντρικού υπολογιστή δοκιμάζει έναν ακροατή σε μία θύρα. Τα OpenVPN, IPsec και SSTP ακούν αλλού, στις δικές τους θύρες και πρωτόκολλα, οπότε ένας προσβάσιμος διακομιστής ιστού δεν λέει τίποτε γι' αυτά.

Η καταχώριση καταλόγου και το προφίλ πρέπει να συμφωνούν ως προς τη μεταφορά, τη θύρα και τα διαπιστευτήρια. Η ταυτότητα επαληθεύεται από την αλυσίδα πιστοποιητικών ή το αποτύπωμα του κλειδιού του ομολόγου με το οποίο ρυθμίστηκε ο πελάτης, όχι από την ορθογραφία του ονόματος. Ένα όνομα που περιέχει μια γνωστή λέξη έργου αποδεικνύει μόνο ότι κάποιος το κατοχύρωσε. Διαβάστε το πιστοποιητικό που παρουσιάζει η υπηρεσία και συγκρίνετε τον εκδότη και το υποκείμενο με αυτό που περιμένει το προφίλ.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Οι λέξεις χωρών δεν είναι έλεγχος τοποθεσίας

Μια ετικέτα jp ή de σε έναν κατάλογο είναι καταχώριση, και οι βάσεις γεωεντοπισμού IP διαφωνούν αρκετά συχνά ώστε καμία να μην αξίζει να θεωρείται απόλυτη αλήθεια. Η κοινόχρηστη φιλοξενία, το anycast και η απλή λανθασμένη ρύθμιση μετακινούν όλα την παρατηρούμενη θέση μακριά από την ετικέτα.

Η πρακτική δοκιμή είναι η ίδια η διαδρομή της εφαρμογής: ποια διεύθυνση φτάνει, και τι δείχνει ένας έλεγχος διεύθυνσης εξόδου μέσα από τη συνεδρία. Μια παρατηρούμενη διεύθυνση εξόδου είναι ιδιότητα της διαδρομής εκείνη τη στιγμή, όχι εγγύηση συνδεδεμένη με το όνομα. Οι κατάλογοι εθελοντών προσθέτουν άλλο ένα επίπεδο, γιατί όποιος κατοχύρωσε μια καταχώριση δεν είναι απαραίτητα αυτός που λειτουργεί το μηχάνημα. Σημειώστε τι μετρήσατε και πότε, αντί για το τι υποσχόταν η καταχώριση.

Ελέγξτε την προσφερόμενη υπηρεσία, μετά τον φορέα

Μόλις κριθούν η μεταφορά και η ταυτότητα, το εναπομένον ερώτημα είναι η συμπεριφορά του φορέα, και αυτό απαιτεί τεκμηριωμένα στοιχεία και όχι συμπεράσματα. Μια πολιτική απορρήτου, μια δημοσιευμένη επαφή και μια ειδοποίηση διαφάνειας είναι στοιχεία πρόθεσης· κανένα δεν αποδεικνύει την πρακτική, και η απουσία και των τριών είναι επίσης πληροφορία.

Για έναν δημόσιο κόμβο ή κόμβο που λειτουργείται από εθελοντές, υποθέστε ότι η έξοδος είναι κοινή και ότι όποιος τη διαχειρίζεται μπορεί να δει τι περνά. Αυτή η υπόθεση, όχι το όνομα, πρέπει να καθορίζει τι στέλνετε μέσα από τη σήραγγα.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Κρατήστε το όνομα για αυτό στο οποίο είναι καλό: να βρίσκει ένα άκρο και να συνδέεται σε αυτό. Ό,τι πηγαίνει πέρα από αυτό πρέπει να δοκιμάζεται χωριστά, την ημέρα που έχει σημασία.

Σχετικά άρθρα