Mida avaliku VPN-i hostinimi tõestada suudab ja mida mitte

Hostinimi osutab lõpp-punktile ja vähestele muule. See ei tõesta protokolli, väljumiskohta ega operaatori säilituspoliitikat ühelgi konkreetsel päeval.

Hostinimed ja riigilipud näevad välja nagu faktid serveri kohta, ja kumbki neist seda ei ole. Nimi viitab aadressidele, mis võivad muutuda, ja selle sees olevad sõnad valis see, kes selle registreeris. Protokoll, väljumiskoht ja logimiskäitumine vajavad igaüks omaenda tõendit. Alustage sellest, milleks nimi tegelikult laheneb, ja otsustage siis, mis on endiselt teadmata.

Nimi laheneb ja miski muu ei ole otsustatud

Hostinimi on osuti DNS-is ja selle taga olevad kirjed võivad erineda sõltuvalt lahendajast, kellaajast ja aadressiperekonnast, mida klient eelistab. Kaks inimest, kes loevad sama kataloogikirjet, võivad täiesti seaduslikult jõuda erinevatesse masinatesse. Nimi ütleb, mida küsida, mitte mida vastatakse.

Ka otsingutulemused muutuvad ilma teatamiseta, mis loeb siis, kui profiil kinnitab aadressi nime asemel. Profiil, millesse on vana aadress kõvasti sisse kirjutatud, jätkab ebaõnnestumist pärast seda, kui operaator teenuse ümber paigutab, ja viga näeb välja nagu blokeeritud port. Hoidke lahendatud aadressid profiili kõrval, et hilisemal võrdlusel oleks baasjoon. Miski sellest ei ütle, kes teist otsa haldab.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport ja identiteet on eraldi küsimused

Hostinimel avatud veebileht testib ühte kuulajat ühel pordil. OpenVPN, IPsec ja SSTP kuulavad mujal, oma portidel ja protokollidel, seega kättesaadav veebiserver ei ütle nende kohta midagi.

Kataloogikirje ja profiil peavad transporti, porti ja volitusi osas ühtima. Identiteeti kontrollitakse sertifikaadiahela või partneri võtme sõrmejäljega, millega klient seadistati, mitte hosti kirjaviisiga. Nimi, mis sisaldab tuntud projektisõna, tõestab ainult seda, et keegi selle registreeris. Lugege sertifikaati, mille teenus esitab, ja võrrelge väljaandjat ja subjekti sellega, mida profiil ootab.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Riigisõnad ei ole asukoha audit

Silt jp või de kataloogis on registreering, ja IP-geolokatsiooni andmebaasid erinevad piisavalt sageli, et kumbagi ei tasuks võtta absoluutse tõena. Jagatud hostimine, anycast ja lihtne vale seadistus liigutavad kõik vaadeldud asukoha sildist eemale.

Praktiline test on rakenduse enda tee: millisele aadressile see jõuab ja mida näitab väljumisaadressi kontroll seansi seest. Vaadeldud väljumisaadress on marsruudi omadus sel hetkel, mitte nimega seotud garantii. Vabatahtlike kataloogid lisavad veel ühe kihi, sest kirje registreerinu ei pruugi olla see, kes masinat haldab. Kirjutage üles, mida mõõtsite ja millal, mitte seda, mida kirje lubas.

Kontrollige pakutavat teenust, seejärel operaatorit

Kui transport ja identiteet on selgeks tehtud, jääb küsimus operaatori käitumisest, ja see nõuab dokumentaalseid tõendeid, mitte oletusi. Privaatsuspoliitika, avaldatud kontakt ja läbipaistvusteade on kavatsuse tõendid; ükski neist ei tõesta praktikat, ja kõigi kolme puudumine on samuti informatsioon.

Avaliku või vabatahtlike hallatava sõlme puhul eeldage, et väljund on jagatud ja et selle haldaja näeb, mis sealt läbi läheb. See eeldus, mitte hostinimi, peaks otsustama, mida te tunnelist saadate.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Hoidke nime selle jaoks, milles see hea on: lõpp-punkti leidmine ja sellega ühenduse loomine. Kõik muu tuleb eraldi testida, päeval, mil see loeb.

Seotud artiklid