Nola bereizi VPN protokoloaren euskarria operadorearekiko konfiantzatik
Protokolo batek tunelaren mekanika egiaztatzen du, ez atzean dagoen enpresa. Ebaluatu atxikipena, kontuaren datuak eta auditoretzak operadoreak argitaratzen duenaren arabera.
Bi hornitzaile-fitxa daude irekita, biek WireGuard iragartzen dute, eta konparazioa esaldi batean trabatu da: tunela sendoa da, beraz zerbitzua ondo egon behar du. Ondorio okerra da. Protokoloak zehazten du nola zifratzen eta autentifikatzen duten bi parekidek, baina ez du ezer esaten mutur-puntua nor arduratzen den, kontu-sistemak zer gordetzen duen edo enpresak lege-eskaera bati nola erantzuten dion. Galdera horiek bereizi behar dituzu intsignia batek zure ordez erantzun aurretik.
Zer egiazta dezakeen protokolo-etiketa batek eta zer ez
WireGuardek Noise gainean eraikitako esku-ukitze bat zehazten du, primitiba modernoen multzo finko bat eta bideratze-eredu bat, non AllowedIPs-ek erabakitzen duen zer sartzen den tunelean. Mezu-formatuei eta gako-trukearen inguruko benetako bermeak dira, eta merezi dute horiek izatea. Kodearen inguruko bermeak ere badira, kode hori exekutatzen den makinaren ingurukoak ez.
Inplementazioak aukerak uzten ditu oraindik. Hornitzaile batek kernel-modulua karga dezake edo erabiltzaile-espazioko build bat eman, DNS tunelaren bidez bultzatu edo tokiko resolverrean utzi, eta gakoak bere egutegiaren arabera biratu. Aukera horietako bat bera ere ez da protokoloaren etiketan agertzen, eta bakoitzak aldatzen du zer behatu dezakeen zerbitzuak.
OpenVPN aukera ematen du hutsunea errazago ikusteko. Bere TLS esku-ukitzea eta ziurtagiri-eredua ondo edo gaizki konfigura daitezke, tls-auth-ekin edo gabe, zifratze modernoekin edo bateragarritasun-erreserba batekin. Bi zerbitzuk OpenVPN esan dezakete eta oso esposizio desberdinekin amaitu. WireGuard protokoloaren orria zehatza da kriptografiari dagokionez eta isila operadoreari dagokionez, eta horixe da gogoan izan beharreko muga.
Zeri soilik operadoreak erantzun diezaiokeen
Hasi jabetzarekin. Mutur-puntua hornitzaileak kontrolatzen duen hardwarean dago, alokatutako VPS batean edo norbaiten etxebizitzan dagoen makina boluntario batean? Erantzunak erabakitzen du nor den disko bat kopiatu dezakeena, nor den kernela adabakitzen duena eta nor den saio-hasiera arraro bat nabaritzen duena. Protokoloen konparazioak ez du horietako ezer lortzen.
Ondoren kontu- eta ordainketa-erregistroak datoz. Helbide elektroniko bat, berritze-denboragailu bat, txartel-aztarna bat eta laguntza-txartel bat tunelaz kanpo bizi dira denak. Resolverra ere bai: hornitzaileak bere DNS propioa kudeatzen badu, izenak ikusten ditu orriak HTTPS badira ere. Eskatu atxikipena egunetan, ez «minimo» hitza.
Sailkatu erantzunak bi zutabetan, pisu desberdina dutelako. Zutabe batek softwarea deskribatzen du; besteak zerbitzuak bete behar duen promesa bat da.
| Question | Protocol tells you | Operator must document |
|---|---|---|
| Who holds the server private key? | How the key exchange works | Key generation, storage and rotation |
| Which addresses connected when? | Nothing | Whether handshake or session metadata is retained |
| What happens to a legal request? | Nothing | Disclosure policy, jurisdiction and response history |
| Who can read diagnostics? | Nothing | Support access rules and retention limits |
Promesak dokumentuen aurka soilik egiaztatzen dira. Bere atxikipen-epea izendatu ezin duen hornitzaileak ez du protokoloaren akatsik agerian uzten; bere erregistroen kalitatea erakusten dizu, eta hori zen hain zuzen epaitzen saiatzen zinen gauza.
Egiaztatu bezeroak benetan aplikatzen duen profila
Bezeroa da profil abstraktua bide bihurtzen den lekua. Linux-en wg-quick-ekin, konfigurazio biluziak zehazki erakusten du zer aplikatuko den, GUI batek etengailu baten atzean ezkutatu ditzakeen DNS eta AllowedIPs lerroak barne.
sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0Irakurri irteera hiru gertaera bereizi gisa. 0.0.0.0/0-ko AllowedIPs-ek esan nahi du bide lehenetsi osoa tunelean sartzen dela; DNS lerro batek esan nahi du izenak profilean izendatutako resolverrera doazela; esku-ukitze berri batek esan nahi du saioa bizirik dagoela. Keepalive iraunkor batek bezeroak NAT mapatze bat irekita eusten duela esaten dizu, eta hori portaera-aukeraketa da, ez segurtasun-kalifikazioa.
Hemen erreserba bat garrantzitsua da. Komando hauek daukazun tunela egiaztatzen dute, ez haren atzean dagoen politika. Esku-ukitze perfektu batek kriptografia funtzionatzen duela frogatzen du; ez du frogatzen joan den hilabeteko konexio-erregistroak ezabatu direnik, gertaera horrek ez baitu arrastorik uzten zure makinan.
Marketin-orri bat gainditzen duten frogak
Eskatu auditoria independentearen txosten bat eta irakurri haren irismena logotipoaren aurretik. Txostenek azpiegitura, aldia eta salbuespenak izendatzen dituzte; askok VPN zerbitzariak hartzen dituzte, kontu-ataria, fakturazioa eta laguntza-tresnak berrikuspenetik kanpo utzita. Zure helbide elektronikoa gordetzen duten sistemak baztertzen dituen auditoria batek salmenta-orriak iradokitzen duen baino galdera estuagoari erantzuten dio.
Gero irakurri pribatutasun-politika kategoriengatik, ez adjektiboengatik. Politika erabilgarri batek izendatzen du zer bildu den, zergatik eta zenbat denboran, eta konexio-metadatuak kontu-datuetatik bereizten ditu. Gardentasun-txosten batek, existitzen bada, erakusten du hornitzaileak eskaeretarako prozesurik duen ala ez, bere zifrak haiek argitaratzen dituen erakundearen bezain onak baitira soilik.
Kode irekiak bezeroaren geruzan laguntzen du eta han gelditzen da. Bezero irakurgarri batek frogatzen du zure gailuak zer bidaltzen duen; ez du frogatzen zer gordetzen duen zerbitzariak. Build errepikagarriek argitaratutako eta entregatutako kodearen arteko hutsa estutzen dute, baina oraindik softwarea deskribatzen dute, ez eragiketak.
Hiru dokumentuko proba labur batek baieztapen gehienak iragazten ditu: kategoria izendatuak eta atxikipena dituen politika bat, irismena adierazitako auditoria bat eta laguntzatik jasotako erantzun idatzi bat eszenatoki zehatz bati buruz. Hiruretako edozein falta bada, tratatu baieztapen zehatz hori egiaztatu gabe gisa, faltsu gisa baino.
Non dagoen muga praktikan
Mutur-puntu boluntario batekin, epaitu ostalari indibiduala. Software-proiektuaren ospeak ez du hura exekutatzen duen makina bakoitzera eramaten, eta makina hori kudeatzen duen pertsonak baliteke proiektuarekiko inolako harremanik ez izatea. Sare komertzialek erantzukizuna beste modu batera antolatzen dute, baina oraindik erakunde bakarrean kontzentratzen dute.
Norberak ostatatzeak galdera irauliko du. Operadorea zu bihurtzen zara, beraz protokoloaren euskarria konponduta dago eta konfiantza zure adabakintza, gako-kudeaketa eta erregistro-atxikipena bihurtzen dira. Erantzun zilegia da irakurle batzuentzat, ez saihesbidea.
Zerbitzu ordaindu baterako, kontratua eta jurisdikzioa produktuaren parte dira. Jabetza-aldaketek, eroskurek eta tokiko dibulgazio-arauak operadorearen betebeharrak alda ditzakete protokoloa ukitu gabe, eta horregatik zehaztapen-orrian gelditzen den konparazioa zaharkitu egiten da.
Idatzi webgunetik egiaztatu ezin izan zenituen hiru gertaerak. Bidali laguntzari eta gorde erantzuna. Erantzun zehatz batek zerbitzua beste kategoria batera eramaten du, eta isiltasuna ere zure konparazioan sartzen den erantzuna da.