Wat in VPN-log oer browsersjen bewiisje kin en wat net

Foardat jo in logfersammeler kieze, beslute hokker barren de audit fêststelle moat. Freegje hokker VPN-sesje in bestimmingsadres oanrekke hat is in oare fraach as freegje hokker persoan in beskaat side iepene hat. Beide freegje ferskillende rekords, ferskillende keppelings en ferskillende nivo's fan fertrouwen. In ferbiningslog fan OpenVPN beantwurdet de earste en kin de twadde net beantwurdzje.

Nammje it barren foardat jo in fersammeler kieze

In sesjerekord lit in akseptearre identiteit, in begjin- en einstiid en in adres sjen dat de tsjinner neffens syn eigen belied tawiisde. In resolverlog lit sjen dat in namme by dy resolver opfrege waard. In floeirekord lit adressen, poarten, protokol en tiid sjen, en in applikaasjelog lit de transaksje sjen dy't dy applikaasje feitlik behannele. Gjin fan dy fjouwer ferfangt in oare.

Elk fan harren fêstiget ien barren en lit de oaren iepen. It freegjen earst opskriuwe foarkomt dat jo in ferhaal gearstalle dat de gegevens net stypje kinne.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

It earste kommando lit sesjebarrens út it tsjinstjoernaal sjen. It twadde printsjelet de aktuele kliïntelist mei tawiisde adressen, dat is de keppeling dêr't in auditskeppeling fan ôfhinget. It tredde lit libbene floeisteat sjen, allinnich nuttich salang't de ferbining noch bestiet.

In syktocht is gjin besyk

In browser löst nammen spekulatyf op, bewarret antwurden yn 'e cache en brûkt se opnij sûnder de monitorre resolver wer te freegjen. In namme yn in resolverlog bewiist dêrom in syktocht, net in besyk. DNS oer HTTPS ferbredelet dat gat, om't in browser dy't dêrfoar ynsteld is syn fragen stjoert nei in plak dêr't jo gewoane logger se nea sjocht.

Bestimmingsadressen binne op har eigen net better. Ien adres kin in protte net-relatearre siden húsfestje, omkearde DNS is in gissing en gjin rekonstruksje, en in hostnamme dy't by in TLS-hânskodding sichtber is, is net it fersykpaad binnen de fersifere sesje.

Foar krekte transaksjes hawwe jo de barrenrekords fan 'e applikaasje sels nedich of in proxy-ûntwerp dat eksplisyt stipe wurdt foar logging. In CONNECT-tunnel jout in proxy de bestimmingsplak en it folume, net de sidenpaden deryn. Administrative tagong ta it netwurk is gjin lisinsje om it fertrouwensmodel fan 'e applikaasje stil te ferfangen.

Keppelje identiteit en tiid foardat jo in persoan neame

In floeirekord mei in ynterne boarneadres betsjut neat oant dat adres itselde tiidstip oan in sesje keppele is. Adressen wurde werbrûkt, en itselde adres koe in oere earder by in oare sesje heard hawwe. Statyske tawizing is ien manier om de assosjaasje te behâlden, net de iennichste.

Oersettingsgrinzen ferswakje de keppeling fierder. As ferskate apparaten al ien boarneadres dielden foardat jo observaasjepunt, is it bêste dat jo identifisearje kinne de dielde gateway-sesje yn stee fan ien apparaat. In sertifikaat of akkount dat troch ferskate minsken brûkt wurdt, hat itselde effekt.

Registrearje tiidsônes, klokboarnen, observaasjepunten en elke oersettingsstap. Ûntbrekkende rekords kinne betsjutte dat in floei-ynskriuwing ferrûn is, dat in sensor omgien waard of dat in applikaasjelog útskeakele wie. It ûntbrekken is gjin bewiis dat der neat bard is.

Definiearje dan de minimale fjilden, de tastiene lêzers en de bewarperioade foar it neamde doel. Korrelaasje en ferkearde taskriuwing binne ûntwerpfragen en gjin neitins, en metadata dy't minsken identifisearret fertsjinnet deselde beskerming as de identiteitskeppeling dêr't it fan ôfhinget.

Test de audit mei aktiviteit dy't jo behearskje

Genearje tastien ferkear wêrfan jo de sesje en applikaasje al kenne, en kontrolearje dan wat elk rekord wier fêstleine hat. Dwa in syktocht sûnder de side te laden, laad in side út 'e cache en iepenje in ferbining fia in proxy, en sjoch hokker barrens ferskine.

Rapportearje it barren dat it bewiismateriaal stipet en sis wat it net dekt. In beskieden rekord mei in neamd berik oerlibbet de beoardieling; in ambisjeuze browserskiednis gearstalle út gissings oerlibbet dat net.