Wat in WireGuard-hânjaan-tiidstempel jo eins fertelt

Ien regel dy't "lêste hânjaan, twa minuten lyn" seit, liket bewiis fan trochgeande aktiviteit en is swakker as dat. Hy markearret de lêste foltôge kaai-útwikseling foar ien peer, dy't op in fêste kaaifernijingstimerm bart wylst ferkear streamt en ophâldt as de peer stil wurdt. Oft dy tiid in persoan oan eat keppelt, hinget ôf fan de identifiers dy't derneist bewarre wurde en fan de klokken fan beide systemen. Hjir is hoe't it ferslach him hâldt yn de twa meast foarkommende stapels, en wêr't it lêzen derfan misgiet.

Twa ferslaggen, twa ferskillende betsjuttings

WireGuard hâldt ien hânjaan-tiidstempel per peer, ferfongen by elke kaaifernijing, plus byt-tsjellers yn elke rjochting. OpenVPN registrearret meastentiids in sesje-start, in ferbining ferbrekken en alles wat de konfigurearre breedsprakigens tafoegt, wat de ienheid fan it ferslach in sesje makket ynstee fan in kaai-útwikseling.

Dat ferskil bepaalt wat in ôfwêzigens betsjut:

Wêrom in hânjaan gjin trochgeand gebrûk is

WireGuard fernijt kaaien sawat elke twa minuten wylst der gegevens te beskermjen binne, en in peer dy't stil komt te stean hâldt gewoan op. Sa kin in ferâldere hânjaan betsjutte dat de laptop sliept, dat de brûker opholden is mei wurkjen, of dat it netwurk de pakketten falle litten hat dy't de folgjende útwikseling útlokje soene. It tiidstempel is in ûndergrins fan aktiviteit, gjin folger fan oandacht.

De omkearde flater is like maklik. Oanhâldend keepalive-ferkear hâldt de tunnel waarm op in stil apparaat, sadat in resint hânjaan ferskine kin op in masine dy't nimmen in oere oanrekke hat. Byt-tsjellers helpe hjir, want se ûnderskiede in peer dy't echte gegevens stjoert fan ien dy't allinne keepalives útwikselet, en se sizze ek hokker rjochting it folume droech. Nimmen fan dat iepenbieret in bestimming, in side of in fraach.

Identifiers reizgje mei it tiidstempel

In tiid sûnder akkount, iepenbiere kaai of boarneadres is in weesbern. Keppelje it tiidstempel oan de identiteit fan 'e peer en de waarnimming wurdt keppelber: in iepenbiere kaai bliuwt by adresferoarings, wylst in boarneadres troch in protte abonnees dield wurde kin efter de adresomsetting fan de oanbieder.

Dy asymmetry is wat de measte privacy-diskusjes misse. It adres liket anonym om't it dield wurdt, en de kaai liket technysk om't er lang is, mar de kaai is de stabile identifier. Ien fjild hâlde en it oare weilitte feroaret it korrelaasjerisiko sûnder de skynbere krektens te feroarjen.

Korrelaasje sels is de dokumintearre soarch. In ferbiningstiid keppelje oan in oanmeldingsbarren fan in oanbieder, in stipekaartsje of in betellingsferslach kin in identiteit oan aktiviteit ferbine sels as nea in bestimming opskreaun is, en dêrom is it keppeljen wichtiger as de opmaak.

Korrelaasje tusken systemen freget soarch foar klokken

Twa systemen dy't itselde momint melde, binne selden oant op de sekonde iens. It iene kin in tiidsône-offset yn syn útfier tapasse, in oar kin rinne op in klok dy't ferskate sekonden ferkeard is, en in firtuele masine kin nei in skoft ôfdriuwe.

Foardat jo konkludearje dat twa barrens tagelyk barde, set beide om nei deselde sône en kontrolearje de offset yn it rûge ferslach ynstee fan yn 'e werjefte. As de kleau dy't jo mjitte lytser is as de wierskynlike ôfwiking, hawwe jo hielendal gjin oardering.

De praktyske regel is de krektens te hâlden dy't de flateropspoaringstaak nedich hat en net mear. In telling fan sesjes per oere beantwurdet in beskikberensfraach sûnder in skiednis per akkount te hâlden, en in gearfetting kin folle langer bewarre wurde as de rûge rigen dêr't er út kaam.

Lês it ferslach mei opdrachten, net mei ferbylding

Print de fjilden dêr't jo oer tinke sille, yn 'e ienheden dy't it ark bewarret en net yn dy't in dashboard werjaan.

Dizze twa regels litte de hânjaan-leeftiid en byt-tsjellers sjen foar elke WireGuard-peer, en dan itselde soarte materiaal út in OpenVPN-statusbestân:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Ferlykje de leeftiid mei it kaaifernijingsinterval foardat jo in konklúzje lûke, en lês de tsjellers derby. In peer mei in resint hânjaan en hast gjin oerdracht wikselet keepalives út, wylst in peer mei in ferâldere hânjaan en grutte tsjellers dwaande wie oant er ophold. Gjin fan beide regels seit wat dien is, en dat rjochtút sizze is krekter as te ymplisearjen dat it tiidstempel in besyk bewiist.