VPN operadoreak ikus ditzake zein webgune bisitatzen dituzun?

Galdetu zer ikus dezakeen VPNak, eta erantzuna horren mende dago: non zauden bidearen barruan. Saio-geruzan operadoreak autentifikazio-gertaerak eta byte-kontaketak ditu. Pakete-geruzan helburuko helbideak eta denborak. DNS geruzan agian izenak beraiek. Geruza bakoitzak galdera ezberdin bati erantzuten dio, eta etengailu bakar batek ere ez zaitu haien artean mugitzen.

Markatu geruza aldarrikapena egin aurretik

Konexio berak erregistro desberdinak sortzen ditu puntu bakoitzean, eta pribatutasunari buruzko adierazpenak zentzua du puntua izendatzen duenean soilik. Irakurri taula zutabez zutabe: zer dagoen geruza horretan, zer ikus dezakeen operadoreak han eta zer ez dioten oraindik erregistro horiek berak.

Geruza bat irudi oso gisa irakurtzea da bai gehiegikeriak bai lasaitasun faltsua hasten diren modua. Nabigazioa ez duela erregistratzen dioen hornitzaile bat zuzena izan daiteke URL erregistroari buruz eta, aldi berean, saio-erregistroak gordetzen; eta helbideak soilik erakusten dituen pakete-kaptura bat ez da nabigazio-historia bihurtzen alderantzizko bilaketarik eta susmoarik gabe.

Politika bat ebaluatzean, aurkitu geruza bakoitza deskribatzen duen esaldia. Politikak bereizten ez baditu, galdetu zein erregistro dauden enkriptazioari buruzko adierazpen orokor bat onartu beharrean.

Saio-inbentarioa: zer gordetzen du OpenVPN zerbitzari estandar batek

Kutxatik aterata, OpenVPN zerbitzari batek ez du trafikoa harrapatzen. Irteera arrunta saio-inbentario bat da: autentifikatu den kontua, etorri den iturburu-helbidea, hasiera eta amaierako denbora-markak, emandako tunel-helbidea eta noranzko bakoitzeko byte guztirakoak. Saioen inbentarioa da, ez helburuen zerrenda.

Erregistratze-aukerak xehetasunak gehitu ditzake. Xehetasun-maila altuago batek gehiago idazten du eskuko agurrari buruz, eta egoera-fitxategi batek konektatutako bezeroak zerenda ditzake, baina batek ere ez du zerbitzaria proxy garden bihurtzen. URLak sortzeko TLS amaitzea edo proxy esplizitu bat exekutatzea behar da, eta biek konfiantza-antolamendua aldatzen dute funtzio ezkutu bat gaitutu beharrean.

Horregatik da nabigazio-erregistrorik ezaren aldarrikapenaren bertsio zehatza dirudiena baino estuagoa. Zerbitzariak ez daki orria, baina badaki saio bat egon zela eta gutxi gorabehera zenbat datu igaro ziren hartatik. Saio-erregistro hori gordetzen den ala ez, eta zenbat denboraz, politikako galdera bereizia da.

Barneko eta kanpoko paketeak froga desberdinak dira

Pakete-kaptura da tuneletik benetan zer igarotzen den ikusteko modua. Zerbitzarian, izendatu tunelaren interfazea eta idatzi lineaz kanpo aztertu daitekeen fitxategi batean:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Fitxategi horrek deskifratutako barne-trafikoa dauka: bezeroaren tunel-helbidea iturburu gisa, helburuko helbidea eta portua, paketeen tamainak eta denborak. Ez du HTTP bidea edo erantzunaren gorputza hartzen, TLS nonbait amaitu ez bada; eta datu sentikorrak dira, eta haien atxikipena politikako erabakia da, ez arazketa-erraztasuna.

Interfaze fisikoan egindako kapturak beste zerbait erakusten du. Han VPNaren amaierako puntura bidalitako kanpoko paketeak ikusten dituzu, barruan karga enkriptatua dutela. Fitxategi horretan agertzen diren helbide erlaziorik gabeak normalak dira adapter birtuala dagoenetik, tunel-gailuak barne-fluxuak eramaten baititu eta garraio enkriptatuak kanpokoak.

Galdetu zeri erantzun behar dion kapturak. Aplikazio batek tunela nola erabiltzen duen adapter birtualean ikusten da; tunelak amaierako puntura iristeko duen gaitasuna interfaze fisikoan ikusten da. Bi fitxategietako bat irudi osoa balitz bezala erabiltzeak datuek sostengatu ezin dituzten ondorioak sortzen ditu.

DNS da izenak ikusgai bihurtzen diren tokia

DNS da salbuespen praktikoa oraindik. Ebazleak ebazteko eskatzen zaizkion izenak ikusten ditu, beraz hura kudeatzen duenak jakiten du bezeroak zein webgune bilatzen dituen, geroagoko konexioak enkriptatuta egon arren. Tunel-kapturak helbideak erakusten ditu; ebazleak izenak.

Egiaztatu ebazleak zein helbide erabili duen kanpoko zerbitzu batera iristeko. Erantzuna ebazlearen irteera-helbidea da, eta VPNaren irteerarekin alderatzeak esango dizu kontsulta tuneletik igaro den ala ez:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Helbide hori tokiko konexioarekin bat badator, tunelaren irteerarekin bat etorri beharrean, bilaketak VPNari saihestu dio eta izena tokiko bidean zegoen ikusgai. Errepikatu egiaztapena bezeroaren eguneraketaren ondoren, bertsio berri batek profilak instalatzen duen ebazlea alda baitezake.

DNS enkriptatuak ikusgaitasuna mugitzen du, ezabatua izan beharrean. Sareak jada ez du kontsulta ikusten, baina ebazleak bai, eta konfiantza-kontuak eskuz aldatzen du besterik gabe. Konexioaren eskuko agurreko TLS zerbitzariaren izena beste seinale partzial bat da: karga opakua denean ere irauten du sarritan, beraz helburuko helbideak ez dira birbidaltze-zerbitzari batek behatu ditzakeen metadatu bakarrak.

Hiru erregistro mota eta norrek irakur ditzakeen

Saio-kontabilitatea, izen bakoitzeko erregistroak eta isuri-frogak hiru produktu desberdin dira, hiru betebehar desberdinekin. Saio-erregistroak merkeak eta sentikortasun gutxikoak dira, eta nor noiz konektatu zen erantzuten dute. Izen bakoitzeko erregistroek erregistratzen duen ebazle bat edo proxy esplizitu bat behar dituzte, eta eragindako pertsonei jakinarazteko betebeharra sortzen dute. Isuri-froga bezeroaren aldeko proba da, ebazleak zer agerian uzten duen tunelaren irteerarekin alderatzen duena.

Idatzi hiru horietatik zein exekutatzen duzun, nork irakur dezakeen eta zenbat denboraz geratzen den. Zerbitzu batek erregistrorik gordetzen ez duela dioen adierazpenek geruza bat deskribatzen dute, eta esparru horren barruan soilik dira egiazkoak. Hornitzaile berak zehatza izan daiteke saioei buruz eta okerra DNSari buruz.

Eduki proba errepikagarri: ebazleari kontsulta bera, kaptura-interfaze bera eta konparazio bera. Izendatutako geruza batean probatu ezin den pribatutasun-adierazpen bat eslogana da, ez egitate eragilea.