Wat in iepenbiere VPN-hostnamme bewize kin en wat net

In hostnamme wiist nei in einpunt en net folle mear. It bewist net it protokol, de útgeanslokaasje of it bewaarbelied fan de operator, op hokker dei dan ek.

Hostnammen en lânflaggen lykje feiten oer in tsjinner, en gjin fan beide is dat. In namme wiist nei adressen dy't feroarje kinne, en de wurden deryn binne keazen troch wa't it registrearre hat. Protokol, útgeanslokaasje en logboekgedrach hawwe elk har eigen bewiis nedich. Begjin mei dêr't de namme eins nei oplost, en beslút dan wat noch ûnbekend is.

De namme lost op, en fierder is neat beslein

In hostnamme is in wiizer yn DNS, en de records dêrefter kinne ferskille per oplosser, per tiid fan de dei en per adresfamylje dy't de klant foarkar jout. Twa minsken dy't deselde mapynskriuwing lêze, kinne mei rjocht by ferskillende masines útkomme. De namme seit wat jo freegje moatte, net wat antwurdzje sil.

Sykoerslaggen feroarje ek sûnder berjocht, wat fan belang is as in profyl in adres fêstset ynstee fan de namme. In profyl dat it âlde adres hurd kodearret, bliuwt mislearjen neidat de operator de tsjinst ferpleatst hat, en de flater liket op in blokkearre poarte. Hâld de oploste adressen njonken it profyl, sadat in lettere ferliking in basisline hat. Neat dêrfan seit wat oer wa't de oare kant driuwt.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Ferfier en identiteit binne aparte fragen

In iepen webside op 'e hostnamme test ien harker op ien poarte. OpenVPN, IPsec en SSTP harkje earne oars, op har eigen poarten en protokollen, dus in berikbere webserver seit neat oer har.

De mapynskriuwing en it profyl moatte oerienkomme oer ferfier, poarte en ynloggegevens. Identiteit wurdt ferifiearre troch de sertifikaatketen of de fingerôfdruk fan 'e partnerkaai wêrmei't de klant konfigurearre is, net troch de stavering fan 'e host. In namme mei in bekend projektwurd bewist allinnich dat immen it registrearre hat. Lês it sertifikaat dat de tsjinst presintearret en ferlykje útjouwer en ûnderwerp mei wat it profyl ferwachtet.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Lânwurden binne gjin lokaasje-audit

In label jp of de yn in map is in registraasje, en IP-geolokaasjedatabases ferskille faak genôch om gjin fan beide as absolute wierheid te behanneljen. Dield hosting, anycast en gewoane ferkearde konfiguraasje ferpleatse allegear de waarnommen lokaasje fan it label ôf.

De praktyske test is it eigen paad fan 'e applikaasje: hokker adres it berikt, en wat in útgeansadres-kontrôle fan binnen de sesje sjen lit. In waarnommen útgeansadres is in eigenskip fan 'e rûte op dat stuit, net in garânsje dy't oan 'e namme hinget. Frijwilligersmappen foegje noch in laach ta, want de persoan dy't in ynskriuwing registrearre hat, hoecht net dejinge te wêzen dy't de masine driuwt. Skriuw op wat jo metten hawwe en wannear, ynstee fan wat de ynskriuwing beloofde.

Kontrolearje de oanbeane tsjinst, dan de operator

As ferfier en identiteit beslein binne, is de oerbleaune fraach it gedrach fan 'e operator, en dat freget dokumintêre bewiis ynstee fan ôflieding. In privacybelied, in publisearre kontakt en in transparânsjemelding binne bewiis fan yntinsje; gjin fan alle bewist de praktyk, en it ûntbrekken fan alle trije is ek ynformaasje.

Foar in iepenbiere of troch frijwilligers bedreaune knoop, nim oan dat de útgean dield is en dat wa't it driuwt, sjen kin wat der trochhinne giet. Dy oanname, net de hostnamme, moat beslute wat jo troch de tunnel stjoere.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Hâld de namme foar dat dêr't it goed yn is: in einpunt fine en der ferbining mei meitsje. Al it oare moat apart test wurde, op 'e dei dat it fan belang is.

Relatearre artikelen