Τι δείχνουν τα αρχεία καταγραφής του δρομολογητή όταν το φορτίο VPN είναι κρυπτογραφημένο

Η κρυπτογράφηση αποφασίζει αν μπορεί να διαβαστεί το περιεχόμενο ενός πακέτου και δεν λέει τίποτα για το αν η ύπαρξη, το μέγεθος και ο χρόνος του πακέτου θα καταγραφούν. Ένας δρομολογητής που προωθεί μια κρυπτογραφημένη σήραγγα βλέπει μια ροή που πρέπει να παραδώσει και μπορεί να τη μετρήσει, να τη χρονοσημάνει και να την αποδώσει. Συγκρίνετε τι καταγράφει μια οικιακή πύλη με ό,τι καταγράφει ένα δίκτυο ανάντη, και η διαφορά αποδεικνύεται ότι αφορά το ποια πεδία έχει λόγο να κρατά το καθένα.

Αυτή η σύγκριση είναι η χρήσιμη, γιατί οι δύο καταγραφές συγχέονται διαρκώς στις συζητήσεις για την ιδιωτικότητα. Απαντούν σε διαφορετικά ερωτήματα και διατηρούνται για διαφορετικά χρονικά διαστήματα.

Δύο παρατηρητές, δύο διαφορετικές καταγραφές

Η πύλη στην άκρη σας ξέρει ποια τοπική διεπαφή χρησιμοποίησε η ροή και, όταν μοιράζει η ίδια διευθύνσεις, ποια συσκευή είχε εκείνη τη διεύθυνση εκείνη τη στιγμή. Μπορεί επίσης να δει ποιον resolver ρωτήσατε και ποιο τελικό σημείο προσεγγίσατε. Ανάντη, η ίδια κίνηση φτάνει μεταφρασμένη, οπότε ένα άλλο δίκτυο βλέπει μία δημόσια διεύθυνση που μοιράζεται όλο το νοικοκυριό, που είναι η λειτουργία που περιγράφεται στο RFC 3022. Κανένας από τους δύο παρατηρητές δεν διάβασε το φορτίο και καμία από τις καταγραφές δεν περιέχει την άλλη.

Τα σύνολα byte ανήκουν επίσης σε αυτή την κατηγορία. Ένας μετρητής όγκου καταγράφει ότι πέρασε κίνηση χωρίς να καταγράφει τι ήταν.

Ποια πεδία αφήνουν πραγματικά ίχνος

Το τι αποθηκεύει μια δεδομένη συσκευή εξαρτάται από το τι είναι ενεργοποιημένο, οπότε κάθε καθολικός ισχυρισμός αξίζει καχυποψία. Ο πίνακας απαριθμεί τα πεδία που έχουν σημασία στην πράξη και τι συνεπάγεται το καθένα.

Διαβάστε τον πίνακα ανά γραμμή και όχι ανά στήλη, γιατί κάθε γραμμή στηρίζει διαφορετικό συμπέρασμα. Η διεύθυνση τελικού σημείου δείχνει ότι υπάρχει σήραγγα, όχι τι μετέφερε. Η αντιστοίχιση τοπικών συσκευών είναι η γραμμή που συνδέει μια ροή με ένα πρόσωπο, και είναι η γραμμή που κρατά μια οικιακή πύλη ενώ ένας παρατηρητής ανάντη συνήθως δεν την κρατά.

Η γραμμή του φορτίου μένει ίδια και στις δύο στήλες, και αυτό είναι το μέρος που εγγυάται πραγματικά η κρυπτογράφηση. Όλα τα άλλα εξαρτώνται από επιλογές καταγραφής.

Ένας δρομολογητής που τερματίζει τη σήραγγα βλέπει περισσότερα

Μια πύλη που προωθεί την κρυπτογραφημένη κίνηση κάποιου άλλου και ένας δρομολογητής που εκτελεί ο ίδιος τη σήραγγα βρίσκονται σε διαφορετικές θέσεις. Ο δεύτερος κρατά την κατάσταση της σήραγγας και τα κλειδιά της και επομένως μπορεί να δει εσωτερικές διευθύνσεις και τους προορισμούς μέσα στη σήραγγα. Αν αυτός ο δρομολογητής μεταφράζει και διευθύνσεις για το εσωτερικό δίκτυο, τα αρχεία του μπορούν να συνδέσουν μια συσκευή με έναν εσωτερικό προορισμό σε μία καταγραφή. Αυτή είναι μια διαφορετική αποκάλυψη από την εξωτερική ροή και την παράγει το ίδιο κουτί.

Συγκρίνετε το με έναν πελάτη φορητού υπολογιστή πίσω από μια απλή πύλη: η πύλη καταγράφει την εξωτερική ροή και το δικό του αρχείο του πελάτη κρατά την εσωτερική λεπτομέρεια. Το να ρωτάτε ποιος κρατά ποιο μισό της εικόνας είναι πιο παραγωγικό από το να ρωτάτε αν το δίκτυο βλέπει μέσα από την κρυπτογράφηση. Η ειλικρινής απάντηση στο δεύτερο ερώτημα είναι όχι, και δεν είναι ούτε το ερώτημα που καθορίζει την έκθεσή σας.

Ελέγξτε τι καταγράφει η δική σας συσκευή

Κοιτάξτε τον δικό σας εξοπλισμό πριν συλλογιστείτε για τον ξένο. Οι παρακάτω εντολές απαριθμούν κανόνες τείχους προστασίας με μετρητές, καταχωρήσεις συνδέσεων που είναι ακόμη ζωντανές και γραμμές αρχείου που αναφέρουν μια σύνδεση. Ισχύουν για δρομολογητή βασισμένο σε Linux, από τον οποίο κατάγεται το μεγαλύτερο μέρος του firmware καταναλωτών.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Ένα σύνολο κανόνων με μετρητές σας λέει τι είναι πρόθυμη να μετρήσει η συσκευή, και ο πίνακας συνδέσεων δείχνει ζωντανές ροές αντί για ιστορικό. Οι γραμμές αρχείου επιβεβαιώνουν αν το firmware γράφει καθόλου συμβάντα σύνδεσης, και αυτό λύνει το μεγαλύτερο μέρος της διαφωνίας. Κενή έξοδος και στις τέσσερις εντολές σημαίνει ότι το κουτί προωθεί χωρίς καταγραφή, και αυτό είναι επίσης μια απάντηση. Επαναλάβετε τον έλεγχο στον πελάτη, γιατί το αρχείο του κρατά το άλλο μισό της εικόνας.

Σημειώστε τις ενεργοποιημένες λειτουργίες και τη ρύθμιση διατήρησης δίπλα στις εξόδους. Το ίδιο υλικό μπορεί να είναι σιωπηλό σήμερα και ομιλητικό μετά από ενημέρωση firmware που ενεργοποιεί την τηλεμετρία.