תעבורת כיסוי ב-VPN: ממי מהצופים אתם מתחבאים

דמיינו שאתם חולקים רשת של בית קפה עם מישהו שמשתמש ב-VPN, וכל מה שאתם רואים הוא גדלים של מנות ותזמון. תעבורת הכיסוי אמורה לטשטש את התמונה הזו. עברו עם הריפוד מהמחשב הנייד עד לשער, ומתברר שהטשטוש מקומי: הוא נגמר במקום שבו השער נגמר. כל מה שאחרי הנקודה הזו הוא בעיית תצפית חדשה על אותה תעבורה אמיתית.

אז השאלה הראשונה היא אף פעם לא כמה מילוי לשלוח. היא ממי מהצופים אתם מתחבאים, ואיפה אותו צופה יושב.

התחילו במחשב הנייד

בקישור המקומי צופה רואה מנות מוצפנות יוצאות ומגיעות. בלי ריפוד, העלאה גדולה היא רצף של מנות בגודל מלא, שיחה היא זרם יציב של מנות בגודל בינוני, ולקוח לא פעיל שולח keepalive. הצורות האלה מתכתבות עם מה שהמשתמש עושה גם כשהתוכן אינו קריא. המילוי יכול להחליק את הצורה, במחיר של שליחת בתים שאיש לא ביקש.

רשמו מה אותו צופה היה מבחין בו אחרת: פרץ בתחילת העברה, פער כששיחה נגמרת, קצב של תקופות חוסר פעילות. אם אינכם יכולים לתת שם למאפיין, אינכם יכולים לטעון שהמילוי מסתיר אותו.

עקבו אחרי המילוי עד השער

המחשב הנייד שולח ריפוד לשער משתף פעולה, שמשליך אותו ומעביר את התעבורה האמיתית הלאה. שיתוף הפעולה הזה הוא המנגנון: בלי נקודת קצה שמסירה את המילוי, הוספתם עומס לנתיב של מישהו אחר במקום ליצור כיסוי. מפרט הריפוד של Tor עושה את אותו פיצול מפורש: ריפוד קישור בין ממסרים סמוכים וריפוד מעגל הקשור למצב הפרוטוקול.

עכשיו חשבו מה השער רואה. הוא רואה את התעבורה האמיתית ועוד המילוי, כלומר הוא לומד יותר ולא פחות, אלא אם הוא הצד שאתם סומכים עליו. תעבורת כיסוי מעבירה אמון למקום אחר; היא אינה מבטלת את הצורך בו.

ואז התבוננו בקטע השני

מעבר לשער, החיבורים הלאה ליעדים אמיתיים הם תעבורה רגילה עם צורות רגילות. צופה שם, בין אם ספק אחסון ובין אם רשת היעד, רואה את אותם פרצים שהריפוד נועד להסתיר. אם אותו צופה היה זה שעניין אתכם, הריפוד לא עשה לכם דבר. הגבול הזה הוא כל העניין בללכת את המסלול.

תעבורת כיסוי מוגבלת לקטע, והרחבת ההיקף משמעה הרחבת שיתוף הפעולה.

כיוון וצורה

ריפוד שנשלח רק החוצה מסתיר את התזמון של מה שאתם שולחים. הוא לא אומר דבר על התזמון של מה שחוזר, כי תשובות מגיעות לפי לוח הזמנים שלהן. הסתרה א-סימטרית היא נורמלית וראויה להיאמר בקול: הפעלה עתירת הורדות עדיין מציגה את צורתה בצד הנכנס.

אורך המנה, מבנה הפרצים, זמני ההתחלה והעצירה והמרווחים בין ההגעות כולם נושאים מידע. מונה בתים שנשאר שטוח יכול להתקיים לצד התפלגות גדלים של מנות שקל מאוד לזהות. סכומים שטוחים אינם התנהגות שטוחה.

מה התקציב קונה

המילוי צורך קיבולת שמישהו משלם עליה: נתונים מדודים, תחרות על הקישור העולה, השהיית תור למשתמשים אחרים באותו חיבור. מעקב אחר הקצב המקסימלי הזמין גם פוגע בעצמו, כי המקסימום הזה זז עם הקישור והמילוי זז איתו. תקציב מוצהר, עם התנהגות מוצהרת כשהתקציב נגמר, הוא ההבדל בין מנגנון לתאונה.

העריכו את התוצאה מול התצפית שציינתם בהתחלה. מבחן שמראה הפחתה בזיהוי תחת צופה מוגדר הוא תוצאה; הבטחה שיותר תעבורה משמעה פחות מידע אינה תוצאה.

להחליט אם לעשות זאת בכלל

לרוב האנשים התשובה היא לא, והסיבה הכנה היא שזרם רקע במלוא המהירות הוא תחליף גרוע לתוכנה שמתעדת מה היא מגנה עליו. ריפוד הוא הנדסה לגיטימית, והוא שייך לעיצובים שמציינים את הצופה שלהם, את נקודות הקצה המשתפות פעולה, את העלות ואת הגבולות שלהם. זו אינה תיבת סימון שהופכת VPN למערכת אנונימיות.

אם תטמיעו אותו, כתבו קודם את מודל הצופה. כל החלטה מאוחרת, מגודלי מנות ועד התנהגות כיבוי, נובעת מאותה פסקה אחת.