מה יומן VPN יכול להוכיח על גלישה ומה לא

לפני שבוחרים אוסף יומנים, החליטו איזה אירוע הביקורת צריכה לבסס. השאלה איזו הפעלת VPN יצרה קשר עם כתובת יעד שונה מהשאלה איזה אדם פתח עמוד מסוים. שתיהן דורשות רשומות שונות, חיבורים שונים ורמות ודאות שונות. יומן חיבור של OpenVPN עונה על הראשונה ואינו יכול לענות על השנייה.

תנו שם לאירוע לפני בחירת אוסף

רשומת הפעלה מציגה זהות שהתקבלה, זמן התחלה וסיום וכתובת שהשרת הקצה לפי המדיניות שלו. יומן פותר מראה ששם נשאל אצל אותו פותר. רשומת זרימה מציגה כתובות, פורטים, פרוטוקול וזמן, ויומן יישום מציג את העסקה שהטיפול בה בוצע בפועל על ידי היישום. אף אחד מהארבעה אינו מחליף אחר.

כל אחד מהם מבסס אירוע אחד ומשאיר את האחרים פתוחים. כתיבת השאלה מראש מונעת מכם להרכיב סיפור שהנתונים אינם תומכים בו.

journalctl -u [email protected] --since today | grep -i 'peer info\|assigned'
cat /etc/openvpn/server/openvpn-status.log | head -20
conntrack -L -p tcp --dport 443 2>/dev/null | head -20

הפקודה הראשונה מציגה אירועי הפעלה מתוך יומן השירות. השנייה מדפיסה את רשימת הלקוחות הנוכחית עם הכתובות שהוקצו, וזהו המיפוי שעליו נשען חיבור הביקורת. השלישית מציגה מצב זרימה חי, שימושי רק כל עוד החיבור קיים.

חיפוש אינו ביקור

דפדפן פותר שמות בספקולציה, שומר תשובות במטמון ועושה בהן שימוש חוזר בלי לשאול שוב את הפותר הנמצא תחת ניטור. לכן שם ביומן פותר מוכיח חיפוש, לא ביקור. DNS מעל HTTPS מרחיב את הפער, מפני שדפדפן שמוגדר לכך שולח את שאלותיו למקום שרושם היומנים הרגיל שלכם לעולם לא רואה.

כתובות יעד אינן טובות יותר כשלעצמן. כתובת אחת יכולה לארח אתרים רבים לא קשורים, DNS הפוך הוא השערה ולא שחזור, ושם מארח שנראה במהלך לחיצת יד TLS אינו נתיב הבקשה בתוך ההפעלה המוצפנת.

לעסקאות מדויקות דרושות רשומות האירועים של היישום עצמו או תכנון פרוקסי שנתמך במפורש לתיעוד. מנהרת CONNECT נותנת לפרוקסי את היעד ואת הנפח, לא את נתיבי העמודים שבתוכו. גישה ניהולית לרשת אינה רישיון להחליף בשקט את מודל האמון של היישום.

חברו זהות וזמן לפני שאתם נוקבים באדם

רשומת זרימה שנושאת כתובת מקור פנימית אינה אומרת דבר עד שהכתובת תחובר להפעלה באותו זמן. כתובות מוקצות מחדש, ואותה כתובת יכלה להשתייך להפעלה אחרת שעה קודם. הקצאה סטטית היא דרך אחת לשמור על הקשר, לא היחידה.

גבולות תרגום מחלישים את החיבור עוד. אם כמה התקנים כבר חלקו כתובת מקור אחת לפני נקודת התצפית שלכם, הטוב ביותר שתוכלו לזהות הוא הפעלת השער המשותפת ולא התקן יחיד. לתעודה או לחשבון שמשתמשים בהם כמה אנשים אותה השפעה.

תעדו אזורי זמן, מקורות שעון, נקודות תצפית וכל שלב תרגום. רשומות חסרות עשויות לומר שרשומת זרימה פגה, שחיישן נעקף או שיומן יישום היה כבוי. היעדר אינו הוכחה שלא קרה דבר.

לאחר מכן הגדירו את השדות המזעריים, הקוראים המותרים ותקופת השמירה למטרה המוצהרת. מתאם וייחוס שגוי הם שאלות תכנון ולא מחשבה מאוחרת, ומטא-נתונים שמזהים אנשים ראויים לאותה הגנה כמו מיפוי הזהות שהם תלויים בו.

בדקו את הביקורת בפעילות שאתם שולטים בה

צרו תעבורה מותרת שאתם כבר יודעים את ההפעלה והיישום שלה, ואז בדקו מה כל רשומה אכן קלטה. בצעו חיפוש בלי לטעון את העמוד, טענו עמוד מהמטמון ופתחו חיבור דרך פרוקסי, וראו אילו אירועים מופיעים.

דווחו על האירוע שהראיות תומכות בו ואמרו מה הוא אינו מכסה. רשומה צנועה עם היקף מוצהר שורדת את הביקורת; היסטוריית גלישה שאפתנית שנבנתה מהשערות אינה שורדת.