Kiel apartigi VPN-protokolan subtenon de konfido al la funkciiganto

Du provizantaj langetoj estas malfermitaj, ambaŭ reklamas WireGuard, kaj la komparo haltis ĉe unu frazo: la tunelo estas forta, do la servo devas esti bona. Tio estas malĝusta konkludo. La protokolo difinas kiel du samtavoloj ĉifras kaj aŭtentikigas, sed ĝi diras nenion pri tio, kiu funkciigas la finpunkton, kion la konta sistemo konservas, aŭ kiel la firmao respondas al jura peto. Vi devas apartigi tiujn demandojn antaŭ ol insigno respondos ilin por vi.

Kion protokola etikedo povas atesti kaj kion ne

WireGuard specifas manpremon konstruita sur Noise, fiksan aron da modernaj primitivoj, kaj enkursigan modelon en kiu AllowedIPs decidas, kio eniras la tunelon. Tiuj estas realaj garantioj pri mesaĝformatoj kaj ŝlosilinterŝanĝo, kaj ili indas esti havataj. Ili ankaŭ estas garantioj pri kodo, ne pri la maŝino, sur kiu tiu kodo funkcias.

La efektivigo tamen lasas elektojn. Provizanto povas ŝarĝi la kernmodulon aŭ liveri konstruaĵon en uzantspaco, puŝi DNS tra la tunelo aŭ lasi ĝin ĉe la loka solvilo, kaj rotacii ŝlosilojn laŭ sia propra horaro. Neniu el tiuj elektoj aperas sur la protokola etikedo, kaj ĉiu el ili ŝanĝas, kion la servo povas observi.

OpenVPN faciligas vidi la breĉon. Ĝia TLS-manpremo kaj atestila modelo povas esti agorditaj bone aŭ malbone, kun aŭ sen tls-auth, kun modernaj ĉifroj aŭ kun kongrueca rezervo. Du servoj povas ambaŭ diri OpenVPN kaj fini kun tre malsama elmetiĝo. La WireGuard-protokola paĝo estas preciza pri la kriptografio kaj silenta pri la funkciiganto, kaj ĝuste tio estas la limo memoreteninda.

Kion nur la funkciiganto povas respondi

Komencu per posedo. Ĉu la finpunkto estas sur aparataro kontrolata de la provizanto, sur luata VPS, aŭ sur volontula maŝino en ies loĝejo? La respondo decidas kiu povas kopii diskon, kiu flikas la kernon, kaj kiu rimarkas strangan saluton. Protokola komparo ne atingas ion el tio.

Sekve venas la kontaj kaj pagaj rekordoj. Retpoŝta adreso, renoviga tempindiko, kartspuro kaj subtena bileto ĉiuj vivas ekster la tunelo. Ankaŭ la solvilo: se la provizanto funkciigas propran DNS, ĝi vidas nomojn eĉ kiam la paĝoj estas per HTTPS. Petu retenadon en tagoj, ne la vorton minimuma.

Ordigi la respondojn en du kolumnojn, ĉar ili portas malsaman pezon. Unu kolumno priskribas la programaron; la alia estas promeso, kiun la servo devas plenumi.

Promesoj estas kontroleblaj nur kontraŭ dokumentoj. Provizanto, kiu ne povas nomi sian retenperiodon, ne malkaŝas protokolan difekton; ĝi montras al vi la kvaliton de siaj rekordoj, kaj ĝuste tion vi provis juĝi.

Kontrolu la profilon, kiun la kliento efektive aplikas

La kliento estas la loko, kie abstrakta profilo fariĝas itineroj. En Linux kun wg-quick, la senigita agordo montras ekzakte kio aplikiĝos, inkluzive la liniojn DNS kaj AllowedIPs, kiujn GUI povas kaŝi malantaŭ ŝaltilo.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Legu la eligon kiel tri apartajn faktojn. AllowedIPs de 0.0.0.0/0 signifas, ke la tuta implicita itinero eniras la tunelon; DNS-linio signifas, ke nomoj iras al la solvilo nomita de la profilo; freŝa manpremo signifas, ke la sesio vivas. Daŭra keepalive diras al vi, ke la kliento tenas NAT-mapon malfermita, kio estas konduta elekto, ne sekureca takso.

Unu atentigo gravas ĉi tie. Ĉi tiuj komandoj kontrolas la tunelon, kiun vi havas, ne la politikon malantaŭ ĝi. Perfekta manpremo pruvas, ke la kriptografio funkcias; ĝi ne pruvas, ke la konektaj rekordoj de la pasinta monato estis forigitaj, ĉar tiu okazaĵo lasas neniun spuron sur via maŝino.

Pruvoj, kiuj postvivas merkatan paĝon

Petu sendependan revizian raporton kaj legu ĝian amplekson antaŭ ol la emblemo. Raportoj nomas la infrastrukturon, la periodon kaj la esceptojn; multaj kovras VPN-servilojn dum ili lasas la kontan portalon, fakturan sistemon kaj subtenajn ilojn ekster la revizio. Revizio, kiu ekskludas la sistemojn tenanta viajn retpoŝtajn adresojn, respondas pli mallarĝan demandon ol la vendopaĝo implicas.

Poste legu la privatec-politikon por kategorioj, ne por adjektivoj. Utila politiko nomas kion oni kolektas, kial, kaj por kiom longe, kaj ĝi distingas konektajn metadatumojn de kontaj datumoj. Travidebleca raporto, se ĝi ekzistas, montras ĉu la provizanto entute havas proceduron por petoj, kvankam ĝiaj nombroj estas nur tiom bonaj kiom la ento, kiu publikigas ilin.

Malfermita kodo helpas ĉe la klienta tavolo kaj haltas tie. Legiva kliento pruvas, kion via aparato sendas; ĝi ne pruvas, kion la servilo konservas. Riprodukteblaj konstruaĵoj mallarĝigas la breĉon inter publikigita kaj liverita kodo, sed ili ankoraŭ priskribas programaron, ne operaciojn.

Mallonga testo de tri dokumentoj filtros la plej multajn asertojn: politiko kun nomitaj kategorioj kaj retenado, aktuala revizio kun deklarita amplekso, kaj skriba respondo de subteno pri unu konkreta scenaro. Se mankas iu el la tri, traktu tiun specifan aserton kiel nekonfirmitan, ne kiel malveran.

Kie la linio situas en la praktiko

Ĉe volontula finpunkto, juĝu la individuan gastiganton. La reputacio de la programara projekto ne transiĝas al ĉiu maŝino, kiu funkciigas ĝin, kaj la persono funkciiganta tiun maŝinon eble tute ne havas rilaton al la projekto. Komercaj retoj organizas respondecon alimaniere, sed ili ankoraŭ koncentras ĝin en unu ento.

Memgastigado renversas la demandon. Vi fariĝas la funkciiganto, do protokola subteno estas solvita kaj konfido fariĝas via propra flikado, ŝlosila administrado kaj protokola konservado. Tio estas legitima respondo por iuj legantoj, ne ĉirkaŭvojo.

Por pagata servo, la kontrakto kaj la jurisdikcio estas parto de la produkto. Posedŝanĝoj, akiroj kaj lokaj malkaŝaj reguloj povas ŝanĝi la devojn de la funkciiganto sen tuŝi la protokolon, kaj tial komparo, kiu haltas ĉe la specifika folio, malaktualiĝas.

Skribu la tri faktojn, kiujn vi ne povis kontroli de la retejo. Sendu ilin al subteno kaj konservu la respondon. Konkreta respondo movas la servon en alian kategorion, kaj silento ankaŭ estas respondo, kiu apartenas al via komparo.