Zer esaten dizun benetan WireGuard-en eskuko emate baten denbora-zigiluak

«Azken eskuko ematea, duela bi minutu» dioen lerro bakar batek etengabeko jardueraren froga dirudi eta hori baino ahulagoa da. Peer batek osatutako azken gako-trukea markatzen du, gakoen berritze-denboragailu finko baten arabera gertatzen dena trafikoa isurtzen den bitartean eta peer-a isiltzen denean gelditzen dena. Ordu horrek pertsona bat zerbaiti lotzen dion ala ez alboan gordetako identifikatzaileen eta bi sistemen erlojuen araberakoa da. Hona hemen erregistroak ohikoenak diren bi pila horietan nola jokatzen duen eta non huts egiten duen haren irakurketak.

Bi erregistro, bi esanahi desberdin

WireGuard-ek eskuko emateko denbora-zigilu bat gordetzen du peer bakoitzeko, gakoak berritzean ordezkatzen dena, eta byte-kontagailuak norabide bakoitzean. OpenVPN-(e)k saio baten hasiera, deskonexio bat eta konfiguratutako zehaztasunak eransten duen guztia erregistratzen ditu normalean, eta horrek erregistroaren unitatea saio bihurtzen du, gako-trukea izan beharrean.

Aldea horrek erabakitzen du zer esan nahi duen absentziak:

Zergatik ez den eskuko ematea erabilera jarraitua

WireGuard-ek gakoak berritzen ditu gutxi gorabehera bi minuturo babesteko datuak dauden bitartean, eta inaktibo geratzen den peer-a besterik gabe gelditzen da. Beraz, eskuko emate zaharkitu batek esan nahi dezake ordenagailu eramangarria lo dagoela, erabiltzailea lanean utzi duela edo sareak hurrengo trukea abiaraziko zuten paketeak baztertu dituela. Denbora-zigilua jardueraren behe-muga da, ez arretaren jarraitzaile.

Alderantzizko akatsa bezain erraza da. Keepalive trafiko iraunkorrak tunela epel mantentzen du gailu inaktibo batean, beraz, azkenaldiko eskuko emate bat ager daiteke ordubetez inork ukitu ez duen makina batean. Byte-kontagailuek laguntzen dute hemen, datu errealak bidaltzen dituen peer-a keepaliveak soilik trukatzen dituenetik bereizten dutelako, eta bolumena zein norabidek eraman zuen ere esaten dute. Horietako ezerk ez du helmugarik, orririk edo kontsultarik agerian uzten.

Identifikatzaileak denbora-zigiluarekin batera doaz

Konturik, gako publikorik edo iturburu-helbiderik gabeko denbora umezurtza da. Lotu denbora-zigilua peer-aren nortasunarekin eta behaketa estekagarria bihurtzen da: gako publikoak helbide-aldaketen artean irauten du, eta iturburu-helbidea operadorearen helbide-itulpenaren atzean harpidedun askok parteka dezakete.

Asimetria hori da pribatutasun-eztabaida gehienek galtzen dutena. Helbidea anonimo dirudi partekatua delako, eta gakoa teknikoa dirudi luzea delako, baina gakoa da identifikatzaile egonkorra. Eremu bat mantentzeak eta bestea baztertzeak korrelazio-arriskua aldatzen du, itxurazko zehaztasuna aldatu gabe.

Korrelazioa bera da dokumentatutako kezka. Konexio-ordu bat hornitzailearen saio-hasierako gertaera batekin, laguntza-txartel batekin edo ordainketa-erregistro batekin batzeak nortasuna jarduerarekin lotu dezake, helmugarik inoiz idatzi ez bazen ere, eta horregatik da parekatzea formatua baino garrantzitsuagoa.

Sistemen arteko korrelazioak erlojuen zaintza behar du

Une bera jakinarazten duten bi sistemak nekez ados daude segundo batera arte. Batek ordu-zonaren desbideratze bat aplika dezake bere irteeran, beste batek segundo batzuk gaizki dabilen erloju batean funtziona dezake, eta makina birtual batek desbidera dezake etetearen ondoren.

Bi gertaera elkarrekin gertatu zirela ondorioztatu aurretik, bihurtu biak zona berera eta egiaztatu desbideratzea erregistro gordinean, bistaratzean ez. Neurtzen ari zaren hutsunea ziurrenik izango den desbideratzea baino txikiagoa bada, ez duzu inolako ordenarik.

Arau praktikoa arazoak konpontzeko zereginak behar duen zehaztasuna mantentzea da, gehiago ez. Orduko saioen kopuruak erabilgarritasun-galdera bat erantzuten du kontu bakoitzeko historiarik gorde gabe, eta agregatu bat askoz ere luzeago gorde daiteke sortu zen errenkada gordinetatik baino.

Irakurri erregistroa komandoekin, irudimenarekin ez

Inprimatu arrazoitzeko asmo duzun eremuak tresnak gordetzen dituen unitateetan, panel batek errendatzen dituenetan ez.

Bi lerro hauek eskuko ematearen adina eta byte-kontagailuak erakusten dituzte WireGuard peer bakoitzeko, eta gero OpenVPN egoera-fitxategi bateko material mota bera:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Konparatu adina gakoen berritze-tartearekin ondorioa atera aurretik, eta irakurri kontagailuak harekin batera. Azkenaldiko eskuko ematea eta ia transferentziarik ez dituen peer batek keepaliveak trukatzen ditu, eta eskuko emate zaharkitua eta kontagailu handiak dituen peer bat lanean egon zen gelditu zen arte. Bi lerroetako batek ere ez du esaten zer egin zen, eta hori argi esatea denbora-zigiluak bisita bat frogatzen duela iradokitzea baino zehatzagoa da.