Kas ribalaiuse loendurid saavad öelda, mida sa VPN-is sirvisid?

Ava ruuteri liiklusleht või VPN-teenuse pakkuja töölaud, ja seal on seadme kohta baidisumma ning kõrval graafik. Tempteeriv on seda graafikut lugeda sirvimisajaloana. See ei ole see, ja põhjus on struktuurne, mitte juriidiline. Loendur liidab suurusi, samas kui ajalugu registreerib sihtkohti ja sisu, ja ainult teine ütleb sulle, kuhu keegi läks.

Alusta ekraanist, mida sa loed

Enne arvu tõlgendamist tee kindlaks, mis selle tekitas. Ruuteri summa seadme kohta pärineb tavaliselt füüsiliste liideste loenduritest, VPN-kliendi summa selle tunnelist ja pakkuja paneel kaugpoole arvestusest. Igaüks loeb sama sessiooni eri osa. Kaks paneeli, mis näitavad sama tunni kohta erinevaid numbreid, on tavaliselt mõlemad õiged.

Intervall on sama tähtis kui allikas. Eluaegne summa, päevane koond ja reaalajas kiirus on kolm erinevat mõõtmist, ja ainult reaalajas kiirusel on piisav eraldusvõime, et ühe tegevusega joonduda.

Kirjuta üles allikas ja intervall enne, kui kirjutad üles järelduse.

Loendurid mõõdavad kihte, mitte lehti

WireGuard peer’i puhul on wg show edastusloendurid selle peer’i summa, sealhulgas krüpteeritud kasulik koormus. OpenVPN-i olekuväljund raporteerib baite kliendi kohta oma kihil. Hostis loeb tun-liides sisemisi IP-pakette, samas kui füüsiline adapter loeb väliseid UDP-pakette, seega erinevad need kapseldamise üldkulude ja kõige muu poolest, mis linki jagab.

Kordused paisutavad summat ilma uue sisu saabumiseta, ja taustsünkroonimine võib tunni aja ära katta, samal ajal kui kasutaja loeb tavalist teksti.

Seetõttu viitab suur summa andmemahukale tegevusele ja mitte millelegi täpsemale. Allalaaditud faili suurus ja loenduri delta on seotud, kuid harva võrdsed.

Mida summa saab ja mida ei saa toetada

Baidisumma ei saa saiti nimetada, sest nimed ja URL-id elavad TLS- või QUIC-sessioonides, mida loendur kunagi ei kontrolli. See ei saa eristada videovoogu suurest varukoopiast ega lehe laadimist reklaamide värskendustsüklist. Mida see toetada saab, on väide mahu ja aja kohta: see seade liigutas selle akna jooksul nii palju andmeid.

Selle muutmiseks väiteks inimese kohta on vaja kahte lisakoostisosa: identiteeti ja korrelatsiooni.

Dokument RFC 6973 privaatsuskaalutlused selgitab, miks see kombinatsioon oluline on, ja ka seda, miks hoolikas aruanne eristab vaadeldut tuletatust. Kui järeldus vajab sõna sest, ei ole loendur üksi piisav tõend.

Ajastus ja identiteet muudavad vastust

Kinnita loendur nimetatud kasutaja ja täpse intervalli külge ja sellest saab teine objekt.

Siis saad seda kõrvutada teiste vaatlustega: sisselogimiskirje, DNS-päring, sessioon teises süsteemis. Loendur ei paljastanud sihtkohta, kuid aitas kellelgi, kellel oli juba hüpotees, seda kinnitada. Krüpteerimine kaitseb sisu ja nimesid teel ega peida fakti, et voog eksisteeris, kui suur see oli või millal see algas.

See on aus piir: mustrid on nähtavad, tähendus ei ole.

Otsusta, mida säilitad, enne kui kogud

Kui nõue on mahutavuse planeerimine, vastab sellele jäme päevakoond ja see maksab vähe. Kui nõue on ajalugu kasutaja kohta, ütle seda selgesõnaliselt, nimeta väljad ja säilitusaken ning käsitle otsust poliitikana, mitte töölaua funktsioonina. Peeneterälise ajaloo kogumine sellepärast, et paneel seda toetab, on viis, kuidas säilitamine kasvab ilma, et keegi otsustaks.

Tõrkeotsinguks võrdle loendurit tegevusega, mida testid. Püsivalt kasvav summa tõestab, et liiklus liigub, mitte et rakendus töötab.

Lame loendur sessiooni ajal, mis selgelt töötab, tähendab tavaliselt, et loed vahemällu salvestatud väärtust või vale liidest. Nimeta säilitatavad väljad ja aken, ja järgmisel auditil on midagi konkreetset kontrollida.