VPN ઓપરેટર જોઈ શકે છે કે તમે કઈ સાઇટ્સની મુલાકાત લો છો?
ડિફોલ્ટ OpenVPN સર્વર સત્રો નોંધે છે, URL નહીં. ઓપરેટર શું જુએ છે તે દાવો કરતાં પહેલાં કનેક્શન લોગ, ટનલ કેપ્ચર અને DNS લીક ચેકની સરખામણી કરો.
પૂછો કે VPN શું જોઈ શકે છે, અને જવાબ એના પર આધાર રાખે છે કે તમે માર્ગમાં ક્યાં ઊભા છો. સત્ર સ્તરે ઓપરેટર પાસે પ્રમાણીકરણની ઘટનાઓ અને બાઇટની ગણતરી હોય છે. પેકેટ સ્તરે લક્ષ્ય સરનામાં અને સમય હોય છે. DNS સ્તરે કદાચ નામો પોતે જ હોય છે. દરેક સ્તર અલગ પ્રશ્નનો જવાબ આપે છે, અને કોઈ એક સ્વિચ તમને એમની વચ્ચે ખસેડતું નથી.
દાવો કરતાં પહેલાં સ્તરને નકશામાં મૂકો
એક જ કનેક્શન દરેક બિંદુએ અલગ રેકોર્ડ બનાવે છે, અને ગોપનીયતા વિશેનું નિવેદન ત્યારે જ અર્થપૂર્ણ છે જ્યારે તે બિંદુનું નામ આપે. કોષ્ટક કૉલમ પ્રમાણે વાંચો: તે સ્તરે શું છે, ઓપરેટર ત્યાં શું જોઈ શકે છે, અને તે જ રેકોર્ડ તેને શું કહી શકતા નથી.
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
એક સ્તરને આખું ચિત્ર ગણીને વાંચવું એ જ અતિશયોક્તિ અને ખોટા આશ્વાસનની શરૂઆત છે. જે પ્રદાતા કહે છે કે તે બ્રાઉઝિંગ નોંધતું નથી, તે URL નોંધણી વિશે સચોટ હોઈ શકે છે અને તેમ છતાં સત્ર રેકોર્ડ રાખે છે; અને ફક્ત સરનામાં દર્શાવતું પેકેટ કેપ્ચર ઉલટી શોધ અને અનુમાન વગર બ્રાઉઝિંગ ઇતિહાસ બનતું નથી.
કોઈ નીતિનું મૂલ્યાંકન કરતી વખતે દરેક સ્તરનું વર્ણન કરતું વાક્ય શોધો. જો નીતિ એમને અલગ ન પાડે, તો એન્ક્રિપ્શન વિશે સામાન્ય નિવેદન સ્વીકારવાને બદલે પૂછો કે કયા રેકોર્ડ અસ્તિત્વમાં છે.
સત્ર યાદી: સામાન્ય OpenVPN સર્વર શું રાખે છે
સ્થાપના પછી તરત જ OpenVPN સર્વર ટ્રાફિક કેપ્ચર કરતું નથી. સામાન્ય આઉટપુટ સત્ર યાદી છે: જે ખાતું પ્રમાણીકરણ થયું, જે સ્રોત સરનામેથી તે આવ્યું, શરૂઆત અને અંતના સમયચિહ્ન, આપેલું ટનલ સરનામું અને દરેક દિશામાં કુલ બાઇટ. આ સત્રોની યાદી છે, લક્ષ્યોની યાદી નહીં.
લોગિંગ વિકલ્પો વિગતો ઉમેરી શકે છે. વધુ વર્બોસિટી સ્તર હેન્ડશેક વિશે વધુ લખે છે, અને સ્ટેટસ ફાઇલ જોડાયેલા ક્લાયન્ટની યાદી આપી શકે છે, પણ એમાંથી કોઈ સર્વરને પારદર્શક પ્રોક્સી બનાવતું નથી. URL બનાવવા માટે TLS સમાપ્ત કરવું પડે અથવા સ્પષ્ટ પ્રોક્સી ચલાવવો પડે, અને બંને છૂપી સુવિધા સક્રિય કરવાને બદલે વિશ્વાસની ગોઠવણ બદલે છે.
એટલે જ બ્રાઉઝિંગ લોગ નથી એ દાવાની સચોટ આવૃત્તિ સાંભળવામાં આવે તેનાથી સાંકડી છે. સર્વર પૃષ્ઠ જાણતું નથી, પણ જાણે છે કે સત્ર હતું અને તેમાંથી આશરે કેટલો ડેટા પસાર થયો. એ સત્ર રેકોર્ડ રાખવામાં આવે છે કે નહીં, અને કેટલો સમય, તે અલગ નીતિ પ્રશ્ન છે.
અંદરના અને બહારના પેકેટ અલગ પુરાવા છે
પેકેટ કેપ્ચર એ જોવાની રીત છે કે ટનલમાંથી ખરેખર શું પસાર થાય છે. સર્વર પર ટનલ ઇન્ટરફેસનું નામ આપો અને એવી ફાઇલમાં લખો જે ઑફલાઇન વિશ્લેષણ કરી શકાય:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headએ ફાઇલમાં ડિક્રિપ્ટ થયેલો અંદરનો ટ્રાફિક છે: સ્રોત તરીકે ક્લાયન્ટનું ટનલ સરનામું, લક્ષ્ય સરનામું અને પોર્ટ, પેકેટના આકાર અને સમય. જ્યાં સુધી ક્યાંક TLS સમાપ્ત ન થાય ત્યાં સુધી તેમાં HTTP માર્ગ કે જવાબનું શરીર હોતું નથી, અને આ સંવેદનશીલ ડેટા છે જેનું સંગ્રહ નીતિનો નિર્ણય છે, ડિબગિંગની સુવિધા નહીં.
ભૌતિક ઇન્ટરફેસ પરનું કેપ્ચર બીજું કંઈક બતાવે છે. ત્યાં તમે VPN એન્ડપોઇન્ટ તરફ મોકલાયેલા બહારના પેકેટ જુઓ છો, અંદર એન્ક્રિપ્ટેડ પેલોડ સાથે. વર્ચ્યુઅલ એડેપ્ટર હોય ત્યારે એ ફાઇલમાં અસંબંધિત સરનામાં દેખાવા સામાન્ય છે, કારણ કે ટનલ ઉપકરણ અંદરના પ્રવાહો વહન કરે છે અને એન્ક્રિપ્ટેડ ટ્રાન્સપોર્ટ બહારના.
પૂછો કે કેપ્ચર કયા પ્રશ્નનો જવાબ આપવાનું છે. એપ્લિકેશનનો ટનલ ઉપયોગ વર્ચ્યુઅલ એડેપ્ટર પર દેખાય છે; એન્ડપોઇન્ટ સુધી ટનલની પહોંચ ભૌતિક પર દેખાય છે. બંનેથી એક ફાઇલને આખું ચિત્ર ગણીને વાપરવાથી એવા નિષ્કર્ષ આવે છે જેને ડેટા ટેકો આપી શકતો નથી.
DNS એ જગ્યા છે જ્યાં નામો દૃશ્યમાન બને છે
DNS વ્યવહારુ અપવાદ રહે છે. રિઝોલ્વર એ નામો જુએ છે જે ઉકેલવા માટે તેને પૂછવામાં આવે છે, તેથી જે તેને ચલાવે છે તે જાણે છે કે ક્લાયન્ટ કઈ સાઇટ્સ શોધે છે, પછીના કનેક્શન એન્ક્રિપ્ટેડ હોય તો પણ. ટનલ કેપ્ચર સરનામાં બતાવે છે; રિઝોલ્વર નામો બતાવે છે.
તપાસો કે બહારની સેવા સુધી પહોંચવા રિઝોલ્વરે કયું સરનામું વાપર્યું. જવાબ રિઝોલ્વરનું એગ્રેસ સરનામું છે, અને VPN એક્ઝિટ સાથે સરખામણી કરવાથી ખબર પડે છે કે ક્વેરી ટનલમાંથી ગઈ કે નહીં:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53જો એ સરનામું ટનલ એક્ઝિટને બદલે સ્થાનિક કનેક્શન સાથે મળે, તો શોધ VPNને ટાળી ગઈ અને નામ સ્થાનિક માર્ગ પર દૃશ્યમાન હતું. ક્લાયન્ટ અપડેટ પછી તપાસ ફરી કરો, કારણ કે નવી આવૃત્તિ બદલી શકે છે કે પ્રોફાઇલ કયું રિઝોલ્વર સ્થાપિત કરે છે.
એન્ક્રિપ્ટેડ DNS દૃશ્યતા દૂર કરવાને બદલે તેને ખસેડે છે. નેટવર્ક હવે ક્વેરી જોતું નથી, પણ રિઝોલ્વર હજી જુએ છે, અને વિશ્વાસનો પ્રશ્ન ફક્ત હાથ બદલે છે. કનેક્શન હેન્ડશેકમાં TLS સર્વરનું નામ બીજું આંશિક સંકેત છે: પેલોડ અસ્પષ્ટ હોય ત્યારે પણ તે ઘણી વાર ટકી રહે છે, તેથી લક્ષ્ય સરનામાં એ જ એકમાત્ર મેટાડેટા નથી જે ફોરવર્ડિંગ સર્વર જોઈ શકે.
ત્રણ પ્રકારના રેકોર્ડ અને કોણ વાંચી શકે
સત્ર હિસાબ, નામ પ્રમાણેના રેકોર્ડ અને લીક પુરાવા એ ત્રણ અલગ ઉત્પાદનો છે, ત્રણ અલગ જવાબદારીઓ સાથે. સત્ર લોગ સસ્તા અને ઓછા સંવેદનશીલ છે, અને તેઓ કહે છે કોણ ક્યારે જોડાયું. નામ પ્રમાણેના રેકોર્ડ માટે લોગ કરતું રિઝોલ્વર કે સ્પષ્ટ પ્રોક્સી જરૂરી છે, અને તે અસરગ્રસ્ત લોકો સામે જાહેર કરવાની જવાબદારી ઊભી કરે છે. લીક પુરાવો ક્લાયન્ટ બાજુની કસોટી છે જે રિઝોલ્વર શું ખુલ્લું કરે છે તેની ટનલ એક્ઝિટ સાથે સરખામણી કરે છે.
નોંધો કે આ ત્રણમાંથી તમે કયું ચલાવો છો, કોણ વાંચી શકે છે અને કેટલો સમય રહે છે. સેવા કોઈ લોગ રાખતી નથી એવાં નિવેદનો એક સ્તરનું વર્ણન કરે છે, અને ફક્ત એ જ મર્યાદામાં સાચાં રહે છે. એક જ પ્રદાતા સત્રો વિશે સચોટ અને DNS વિશે ખોટો હોઈ શકે.
કસોટી પુનરાવર્તનીય રાખો: એ જ રિઝોલ્વર ક્વેરી, એ જ કેપ્ચર ઇન્ટરફેસ અને એ જ સરખામણી. જે ગોપનીયતા દાવો નામ આપેલા સ્તરે ચકાસી શકાતો નથી તે સૂત્ર છે, કાર્યકારી હકીકત નહીં.