Que che di realmente a marca de tempo dun handshake de WireGuard

Unha soa liña que di «último handshake, hai dous minutos» parece proba de actividade continua e é máis feble ca iso. Marca o último intercambio de claves completado para un par, que ocorre cun temporizador fixo de renovación de claves mentres flúe o tráfico e detense cando o par cala. Que esa hora vincule unha persoa con algo depende dos identificadores gardados ao lado e dos reloxos de ambos os sistemas. Velaquí como se comporta o rexistro nas dúas pilas máis comúns e onde falla a súa lectura.

Dous rexistros, dous significados distintos

WireGuard garda unha marca de tempo de handshake por par, substituída en cada renovación de claves, ademais de contadores de bytes en cada dirección. OpenVPN adoita rexistrar o inicio dunha sesión, unha desconexión e o que engada a verbosidade configurada, o que fai que a unidade do rexistro sexa unha sesión e non un intercambio de claves.

Esa diferenza decide que significa unha ausencia:

Por que un handshake non é uso continuo

WireGuard renova as claves aproximadamente cada dous minutos mentres hai datos que protexer, e un par que queda inactivo simplemente se detén. Así, un handshake antigo pode significar que o portátil dorme, que o usuario deixou de traballar ou que a rede descartou os paquetes que terían desencadeado o seguinte intercambio. A marca de tempo é un límite inferior da actividade, non un rastrexador da atención.

O erro inverso é igual de fácil. O tráfico keepalive persistente mantén o túnel quente nun dispositivo inactivo, así que un handshake recente pode aparecer nunha máquina que ninguén tocou nunha hora. Os contadores de bytes axudan aquí, porque distinguen un par que envía datos reais dun que só intercambia keepalives, e tamén din que dirección levou o volume. Nada diso revela un destino, unha páxina nin unha consulta.

Os identificadores viaxan coa marca de tempo

Unha hora sen conta, clave pública nin dirección de orixe é un orfo. Emparexe a marca de tempo coa identidade do par e a observación vólvese enlazable: unha clave pública persiste entre cambios de dirección, mentres que unha dirección de orixe pode ser compartida por moitos abonados detrás da tradución do operador.

Esa asimetría é o que a maioría dos debates sobre privacidade pasa por alto. A dirección parece anónima porque é compartida, e a clave parece técnica porque é longa, pero a clave é o identificador estable. Conservar un campo e descartar o outro cambia o risco de correlación sen cambiar a precisión aparente.

A correlación en si é a preocupación documentada. Unir unha hora de conexión cun evento de inicio de sesión do provedor, un ticket de soporte ou un rexistro de pagamento pode asociar unha identidade con actividade mesmo cando nunca se anotou ningún destino, e por iso o emparellamento importa máis que o formato.

A correlación entre sistemas require coidado cos reloxos

Dous sistemas que informan do mesmo momento raramente coinciden ata o segundo. Un pode aplicar un desfase de fuso horario na súa saída, outro pode funcionar cun reloxo desviado uns segundos, e unha máquina virtual pode derivar tras unha suspensión.

Antes de concluír que dous eventos ocorreron xuntos, converta ambos á mesma zona e comprobe o desfase no rexistro en bruto e non na visualización. Se o oco que mide é menor que a desviación probable, non ten ningunha ordenación.

A regra práctica é conservar a precisión que necesita a tarefa de diagnóstico e nada máis. Un reconto de sesións por hora responde a unha pregunta de dispoñibilidade sen gardar un historial por conta, e un agregado pode reterse moito máis tempo que as filas en bruto das que provén.

Lea o rexistro con ordes, non con imaxinación

Imprima os campos sobre os que vai razoar, nas unidades que almacena a ferramenta e non nas que mostra un panel.

Estas dúas liñas mostran a idade do handshake e os contadores de bytes de cada par de WireGuard, e despois o mesmo tipo de material dun ficheiro de estado de OpenVPN:

wg show all latest-handshakes
wg show wg0 transfer
cat /run/openvpn/server.status

Compare a idade co intervalo de renovación de claves antes de sacar unha conclusión, e lea os contadores xunto con ela. Un par cun handshake recente e case ningunha transferencia intercambia keepalives, mentres que un par cun handshake antigo e contadores grandes estivo ocupado ata que se detivo. Ningunha das dúas liñas di que se fixo, e dicilo con claridade é máis exacto que insinuar que a marca de tempo demostra unha visita.