Kin in betelle VPN sesjes autorisearje sûnder dyn akkount?
Net-ferbûnbere tokens kinne de kontrôle fan geskiktheid skiede fan 'e sesje sels. Wat telt is it ûntwerp fan útjefte en ynlossing, net it label op it oanmeldskerm.
Foar in tunnel betelje hoecht net te betsjutten dat de betellingsidentiteit by elke ferbining sjen litten wurdt. In ûntwerp kin de geskiktheid ien kear kontrolearje, de klant kryptografyske tokens jaan en de poarte letter in token akseptearje litte sûnder it akkount deryn te sjen. Oft dat echt wat ferberget, hinget ôf fan 'e karren oer útjefte en ynlossing, behannelje it dus as in spesifikaasje-oefening mei fjouwer dielen en net as in funksje dy 'tsto oansette.
Skied de oankeapestap fan 'e sesjestap
De Privacy Pass-arsjitektuer yn RFC 9576 jout it wurdskat: in klant, in attestearder, in útjouwer en in oarsprong. De klant bewissiget in eigenskip oan 'e útjouwer en krijt tokens; letter presintearret er ien oan 'e oarsprong, dy 't beslút oft er it betsjinnet. Tapast op in VPN kin de attesteare eigenskip ien ienheid tagong wêze.
Billing sjocht noch altyd wat syn eigen proses nedich hat, en nimmen beweart oars. It smellere doel is dat de lettere ynlossing net werom te keppeljen is oan 'e oankeap dy 't it token makke hat. Dat is in konkreet, testber eigenskip, en dat is dejinge dy 't it wurdich is op te skriuwen.
In tafallich lykjende dragerstring jout dat net. As de útjouwer de wearde njonken in klantrecord bewarret en de poarte dat ferbân opfreegje kin, wurde de twa ynteraksjes ferbûn troch in databank ynstee fan troch kryptografy. De konstruksje moat de útjouwer ûnby steat meitsje dy fraach te beäntwurdzjen, en de ymplemintaasje moat foarkomme dat de útjouwer en de poarte har bylden gearfoegje.
Beslis wat ien token autorisearret
«Ien token keapet tagong» beantwurdet operasjoneel hast neat. Is de ienheid ien ferbining, in tiidkwota of in folume? Kin in klant dy 't syn antwurd ferlern is deselde jefte ferfolgje? Wat bart der as in apparaat opnij ferbynt by in netwurkferoaring? Dy antwurden beslisse oft it ûntwerp brûkber is, en elk fan har hat in gefolch foar privacy.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Kies ien bewust en skriuw it flatergedrach dernjonken. In klant dy 't nei in tiidferrin opnij besiket mei in nij rjocht ferbrûkt noch in ienheid, wat tagelyk in ferrassing op 'e rekken en in privacysinjaal is.
Skriuw it belied foar wergebrûk en yntrekking
Yntrekking is it plak dêr 't anonime ûntwerpen meastentiids har eigen belofte brekke. In abonnemint ophelje en al útjûne tokens ûnjildich meitsje binne ferskillende operaasjes, en in poarte dy 't stil in akkountsykjen docht om te beslissen is op dat punt net mear anonim.
Kies in ferfaldatum, in útjefterin en in yntrekkingsferhaal dy 't byinoar passe. Besjoch dan de eigen records fan 'e poarte op fjilden dy 't de keppeling werombringe dy 'tsto fuorthelle hast.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Dy syktocht listet logbestannen op mei token- of akkountfjilden, en dat is it earste plak dêr 't in soarchfâldich ûntwerp yn 'e praktyk lekket. In sesje-record dy 't de tokenwearde njonken in akkountidentifikaasje bewarret, ferneatiget de hiele konstruksje, en it komt meastentiids troch in debugferoaring dy 't nimmen wer besjoen hat.
Beslis ek wat de poarte hâldt nei 't ein fan in sesje. Doer, bytes en einpunt binne nuttich foar operaasjes, en elk dêrfan is in stikje fan 'e puzel dy 't in waarnimmer graach hawwe soe. Hâld de bewarperioade koart en de fjildlist koart, en besjoch beide as in debugferoaring in kolom taheakket. Nimmen merkt in nij logfjild op foar 't it der in jier is.
Formulearje de bewearing, en dan de waarnimmings dy 't oerbliuwe
Skriuw de privacybewearing yn ien sin mei har oannames: hokker partij moat net by steat wêze hokker konteksten te keppeljen, en wat bart der as de útjouwer en de poarte har notysjes fergelykje. In ûntwerp dy 't dy sin oerlibbet is te besjen; ien dy 't allinnich as «nul kennis» beskreaun wurdt net.
List dan op wat sichtber bliuwt likegoed. Boarneadressen, ferbiningstiden, pakketgruttes en it ienfâldige feit dat in oankeap even foar 't ferskinen fan 'e ienige nije ferbining barde, steane allegear bûten de kryptografy. Ien klant dy 't ien ienheid keapet en ien kear ferbynt is allinnich troch timing te keppeljen, en gjin tokenûntwerp feroaret dat.
It earlike resultaat is in smeller keppeling tusken akkount en gebrûk, net in ûnsichtbere sesje. It is noch altyd de muoite wurdich om te bouwen, salang 't de dokumintaasje dat seit en de operaasjonele records by de bewearing passe.