Que pode e que non pode demostrar un rexistro VPN sobre a navegación

Antes de escoller un recolledor de rexistros, decida que feito debe establecer a auditoría. Preguntar que sesión VPN contactou cun enderezo de destino é distinto de preguntar que persoa abriu unha páxina concreta. Ambas esixen rexistros diferentes, unións diferentes e niveis de confianza diferentes. Un rexistro de conexión de OpenVPN responde á primeira e non pode responder á segunda.

Nomee o feito antes de escoller un recolledor

Un rexistro de sesión mostra unha identidade aceptada, unha hora de inicio e de fin e un enderezo que o servidor asignou segundo a súa propia política. O rexistro dun resolutor mostra que se consultou un nome nese resolutor. Un rexistro de fluxo mostra enderezos, portos, protocolo e hora, e un rexistro de aplicación mostra a transacción que esa aplicación atendeu realmente. Ningún dos catro substitúe a outro.

Cada un deles establece un feito e deixa os demais abertos. Escribir a pregunta primeiro impídelle montar unha historia que os datos non poden soster.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

O primeiro comando mostra eventos de sesión do diario do servizo. O segundo imprime a lista actual de clientes coas direccións asignadas, que é a correspondencia da que depende unha unión de auditoría. O terceiro mostra o estado de fluxo en vivo, útil só mentres a conexión aínda existe.

Unha consulta non é unha visita

Un navegador resolve nomes de forma especulativa, almacena as respostas na caché e reutilízaas sen volver preguntar ao resolutor vixiado. Un nome no rexistro dun resolutor demostra por tanto unha consulta, non unha visita. DNS sobre HTTPS amplía esa fenda, porque un navegador configurado para iso envía as súas preguntas a un lugar onde o seu rexistrador habitual nunca as ve.

Os enderezos de destino non son mellores por si sos. Un enderezo pode aloxar moitos sitios non relacionados, o DNS inverso é unha conxectura e non unha reconstrución, e un nome de host visible durante un intercambio TLS non é a ruta da solicitude dentro da sesión cifrada.

Para transaccións exactas necesita os rexistros de eventos propios da aplicación ou un deseño de proxy admitido explicitamente para o rexistro. Un túnel CONNECT dá ao proxy o destino e o volume, non as rutas de páxina que hai dentro. O acceso administrativo á rede non é unha licenza para substituír en silencio o modelo de confianza da aplicación.

Unir identidade e tempo antes de nomear unha persoa

Un rexistro de fluxo cun enderezo de orixe interna non significa nada ata que ese enderezo se une a unha sesión no mesmo momento. Os enderezos reutilízanse, e o mesmo enderezo puido pertencer a outra sesión unha hora antes. A asignación estática é unha forma de manter a asociación, non a única.

As fronteiras de tradución debilitan aínda máis a unión. Se varios dispositivos xa compartían un enderezo de orixe antes do seu punto de observación, o mellor que pode identificar é a sesión de pasarela compartida e non un só dispositivo. Un certificado ou unha conta usados por varias persoas teñen o mesmo efecto.

Rexistre os fusos horarios, as fontes de reloxo, os puntos de observación e cada salto de tradución. Os rexistros ausentes poden significar que unha entrada de fluxo caducou, que se evitou un sensor ou que un rexistro de aplicación estaba apagado. A ausencia non é proba de que non ocorrese nada.

Despois defina os campos mínimos, os lectores permitidos e o período de retención para o propósito declarado. A correlación e a atribución errónea son cuestións de deseño e non unha ocorrencia tardía, e os metadatos que identifican persoas merecen a mesma protección que a correspondencia de identidade da que dependen.

Probe a auditoría con actividade que vostede controle

Xere tráfico permitido cuxa sesión e aplicación xa coñeza e comprobe despois que capturou realmente cada rexistro. Faga unha consulta sen cargar a páxina, cargue unha páxina desde a caché e abra unha conexión a través dun proxy, e observe que eventos aparecen.

Informe do feito que as probas sosteñen e diga que non cobre. Un rexistro modesto cun alcance declarado supera a revisión; un historial de navegación ambicioso montado con conxecturas non a supera.