VPN erregistro batek nabigazioaz zer froga dezakeen eta zer ez

Erregistroen biltzaile bat aukeratu aurretik, erabaki zein gertaera frogatu behar duen auditoriak. Zein VPN saio harremanetan jarri zen helmuga-helbide batekin galdetzea beste galdera bat da pertsona batek zein orrialde zehatz ireki zuen galdetzea baino. Biek erregistro desberdinak, bateratze desberdinak eta konfiantza-maila desberdinak behar dituzte. OpenVPN konexio-erregistro batek lehenari erantzuten dio eta ezin dio bigarrenari erantzun.

Izenda ezazu gertaera biltzaile bat aukeratu aurretik

Saio-erregistro batek onartutako identitatea, hasiera- eta amaiera-ordua eta zerbitzariak bere politikaren arabera esleitutako helbide bat erakusten ditu. Ebaztaile baten erregistroak izen bat ebaztaile horretan kontsultatu zela erakusten du. Fluxu-erregistro batek helbideak, atakak, protokoloa eta ordua erakusten ditu, eta aplikazio-erregistro batek aplikazio horrek benetan kudeatutako transakzioa erakusten du. Lau horietako batek ere ez du beste bat ordezkatzen.

Horietako bakoitzak gertaera bat frogatzen du eta gainerakoak irekita uzten ditu. Galdera lehenik idazteak datuek onartu ezin duten istorio bat muntatzea eragozten dizu.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

Lehen komandoak zerbitzuaren erregistroko saio-gertaerak erakusten ditu. Bigarrenak uneko bezero-zerrenda inprimatzen du esleitutako helbideekin, eta hori da auditoriako bateratzeak behar duen mapaketa. Hirugarrenak fluxuaren zuzeneko egoera erakusten du, konexioa oraindik existitzen den bitartean soilik erabilgarria.

Bilaketa bat ez da bisita bat

Nabigatzaile batek izenak espekulatiboki ebazten ditu, erantzunak cachean gordetzen ditu eta berriro erabiltzen ditu gainbegiratutako ebaztaileari berriro galdetu gabe. Beraz, ebaztaile baten erregistroko izen batek bilaketa frogatzen du, ez bisita. HTTPS bidezko DNSak hutsune hori handitzen du, horretarako konfiguratutako nabigatzaile batek bere galderak zure erregistratzaile arruntak inoiz ikusten ez duen tokira bidaltzen dituelako.

Helmuga-helbideak ez dira berez hobeak. Helbide batek erlazionatu gabeko gune asko ostatatu ditzake, alderantzizko DNSa asmakizuna da eta ez berreraikuntza, eta TLS elkarrizketa batean ikusgai dagoen ostalari-izena ez da zifratutako saioaren barruko eskaera-bidea.

Transakzio zehatzetarako aplikazioaren beraren gertaera-erregistroak behar dituzu edo erregistratzeko berariaz onartutako proxy diseinu bat. CONNECT tunel batek helmuga eta bolumena ematen dizkio proxyari, ez barruko orrialde-bideak. Sareko administrazio-sarbideak ez du aplikazioaren konfiantza-eredua isilka ordezkatzeko baimenik.

Bateratu identitatea eta denbora pertsona bat izendatu aurretik

Barneko iturburu-helbide bat duen fluxu-erregistroak ez du ezer esan nahi helbide hori aldi berean saio batekin bateratu arte. Helbideak berrerabiltzen dira, eta helbide bera ordubete lehenago beste saio batena izan zitekeen. Esleipen estatikoa elkarketari eusteko modu bat da, ez bakarra.

Itzulpen-mugek are gehiago ahultzen dute bateratzea. Hainbat gailuk jada iturburu-helbide bat partekatzen bazuten zure behaketa-puntua baino lehen, identifika dezakezun onena atebide partekatuaren saioa da, ez gailu bakarra. Hainbat pertsonak erabiltzen duten ziurtagiri edo kontuak efektu bera du.

Erregistratu ordu-eremuak, erloju-iturriak, behaketa-puntuak eta itzulpen-jauzi bakoitza. Falta diren erregistroek adieraz dezakete fluxu-sarrera bat iraungi dela, sentsore bat saihestu dela edo aplikazio-erregistro bat itzalita zegoela. Absentziak ez du ezer gertatu ez denik frogatzen.

Ondoren definitu gutxieneko eremuak, baimendutako irakurleak eta atxikipen-epea adierazitako helbururako. Korrelazioa eta okerreko esleitzea diseinu-kontuak dira, ez ondorengo gogoeta, eta pertsonak identifikatzen dituzten metadatuek haien mende dagoen identitate-mapak beste babes merezi dute.

Probatu auditoria kontrolatzen duzun jarduerarekin

Sortu baimendutako trafikoa, zeinaren saioa eta aplikazioa dagoeneko ezagutzen dituzun, eta gero egiaztatu zer harrapatu duen erregistro bakoitzak. Egin bilaketa bat orrialdea kargatu gabe, kargatu orrialde bat cachetik eta ireki konexio bat proxy baten bidez, eta ikusi zein gertaera agertzen diren.

Salatu frogak onartzen duen gertaera eta esan zer ez duen estaltzen. Adierazitako esparrua duen erregistro apal batek berrikuspena gainditzen du; asmakizunez osatutako nabigazio-historia handinahi batek ez.