Továbbított VPN-port: mit láthatnak a látogatók és a szolgáltató

Egy port továbbítása utat ad idegeneknek egy szolgáltatáshoz a szolgáltató nyilvános címén keresztül. Ez az egyetlen változás egyszerre érinti a kitettséget és a felismerhetőséget, és egyik sem teszi közzé annak a nevét, aki a szolgáltatást működteti. A kettő szétválasztása elkerüli az ellentétes hibákat: a 'továbbítást' anonimitásnak, illetve azonosításnak tekinteni. Három kérdés választja el őket tisztán, és a válaszok különböző bizonyítékokból származnak.

Három objektum, három különböző kérdés

Tartsa a nyilvános címet külön a mögötte válaszoló alkalmazástól, és mindkettőt külön az embertől vagy szervezettől, aki a dolgot működteti. Mindegyiknek megvan a maga közönsége és a maga bizonyítéka. Ezek összekeverése rendezettnek hangzó és téves következtetéseket ad.

Ebben a sorrendben haladjon végig rajtuk. Az első az elérhetőség kérdése, a második az alkalmazás identitásának kérdése, a harmadik pedig a tulajdonítás kérdése, amelyről az első kettő csak részben ad felvilágosítást. Amikor valaki azt kérdezi, hogy a porttovábbítás privát-e, kérdezze meg, melyikre gondol a háromból. A válaszok valóban különböznek, és egy szabályzati oldal általában csak eggyel foglalkozik.

Mit kapcsolhat össze egy látogató a végpontok között

A látogató csatlakozik a végponthoz, és látja, amit az alkalmazás jogszerűen bemutat: 'gazdagépnevet', tanúsítványnevet, bejelentkező oldalt, közzétett tartalmat. Ezek a részletek azonosítják a szolgáltatást akkor is, amikor szokásos hozzáférési címe az alagút mögé rejtve van. Két végpont, amely ugyanazt a megnevezett webhelyet mutatja, alapot ad a megfigyelőknek az összekapcsolásukra. Ebben a viselkedésben semmi nem szivárgás, mert az alkalmazást arra tervezték, hogy látható legyen.

A tanúsítványok, átirányítások és oldaltartalom egyezése két végpont között erős jelzés arra, hogy egy szolgáltatáshoz tartoznak. Ez továbbra is a szolgáltatásról szóló állítás, nem emberről, amíg egy másik rekord össze nem kapcsolja a kettőt.

Az IETF adatvédelmi irányelvei leírják, hogyan teszik lehetővé az állandó azonosítók az interakciók időbeli korrelálását. A korreláció nem tulajdonítás, mert egy szolgáltatást több ember is igazgathat, és egy cím nem rokon előfizetők között is vándorolhat. Ez a megkülönböztetés akadályozza meg, hogy egy korrelációs megállapítás vádaskodássá váljon.

Mit kell tudnia a továbbítás szolgáltatójának

Egy bejövő kapcsolat kézbesítéséhez a szolgáltató rendszerének fenn kell tartania a nyilvános belépési pont és a belső cél közötti aktív kapcsolatot. Ez a működési tény különbözik attól, amit a látogató lát, és ismét különbözik attól, amit a szolgáltató megőrizni dönt. Tartsa külön a két kérdést, amikor szabályzati oldalt olvas, mert az egyik elkerülhetetlen, a másik pedig döntés. Az az állítás, hogy nem tárolnak böngészési előzményeket, semmit nem mond a hozzárendelések előzményeiről.

Hogy megmaradnak-e a történeti hozzárendelések, a fióktársítások vagy a kapcsolati rekordok, az a szolgáltató tényleges szabályzatának és megvalósításának kérdése. A továbbítás nem bizonyítja, hogy minden kategóriát naplóznak. Kérdezze meg konkrétan, mely mezők maradnak meg a hozzárendelés visszavonása után, és mennyi ideig.

A bejövő elérhetőség az ügyfél kimenő útvonalválasztásától, a DNS-től és a hiba esetén mutatott viselkedéstől is elkülönül. Egy hozzárendelés hozzáadása nem írja le, hogyan lép ki az ügyfél többi forgalma.

A hozzárendelés időtartama megváltoztatja a kitettséget

Egy hozzárendelés fennmaradhat egy munkamenet idejéig, egy foglalás idejéig vagy egy azt módosító szolgáltatói szabályzat szerint. Sem állandó kiosztást, sem folyamatos rotációt nem kell feltételezni; olvassa el a termék dokumentált viselkedését, és jegyezze fel, amit megfigyel. Két egy hét különbséggel végzett megfigyelés többet mond a 'rotációról', mint bármely marketingszöveg a termékoldalon. Jegyezze fel a megfigyelt intervallumot a végpont mellé a jegyzeteiben, mert az intervallum a kitettség része.

Az élettartam megváltoztatja, milyen korreláció lehetséges. Egy stabil végpont egy szolgáltatás hosszú távú követésére hív, míg egy forgó minden megfigyelést nehezebben kapcsolhatóvá tesz az előzőhöz. Egyik tulajdonság sem garancia a szolgáltató rekordjaira, és egyik sem helyettesíti annak eldöntését, mit tesz közzé maga a szolgáltatás.

Tegye közzé szándékosan, majd zárja be mindkét ajtót

Erősítse meg, hogy a szolgáltató engedélyezi a szükséges protokollt, hogy a célfigyelő az, amelyre gondolt, és hogy a gazdagép- és alkalmazásvezérlők továbbra is korlátozzák a hozzáférést. Közzététel előtt nézze meg, mit mutat a szolgáltatás egy idegennek. Ez a két parancs mutatja a tanúsítványt és a fejléceket, amelyeket a látogató kap.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Valaminek a közzététele nem igazolja a felügyeleti oldalainak feltárását vagy az alkalmazás bejelentkezésének elhagyását, és a fordítás nem ad TLS-t olyan szolgáltatásnak, amelynek soha nem volt. Tartsa helyén a titkosított protokollt és annak kiszolgálóazonosító ellenőrzéseit, függetlenül attól, hogyan érkezik a forgalom. Utána ellenőrizze a válaszfejléceket, mert egy 'banner' vagy hibakereső oldal többet mondhat egy idegennek, mint amit a szolgáltatás szán. Amit a két parancs visszaad, ugyanaz a nézet, amelyet egy megfigyelő kap.

A szolgáltatás kivonása két lezárást jelent, nem egyet: vonja vissza a hozzárendelést a tulajdonosán keresztül, majd a figyelőt és a jogosultságot külön tételként kezelje. Egy könyvjelzőzött végpont, amely abbahagyja a válaszadást, nem von vissza hitelesítő adatot, és nem hoz vissza már kézbesített információt.