Mit bizonyíthat egy nyilvános VPN-gazdagépnév, és mit nem

A gazdagépnevek és az országzászlók úgy tűnnek, mint egy kiszolgálóra vonatkozó tények, és egyik sem az. Egy név olyan címekre mutat, amelyek változhatnak, a benne lévő szavakat pedig az választotta, aki regisztrálta. A protokollnak, a kilépési helynek és a naplózási viselkedésnek külön-külön kell bizonyíték. Kezdje azzal, amire a név valóban feloldódik, aztán döntse el, mi még ismeretlen.

A név feloldódik, és semmi más nincs tisztázva

A gazdagépnév egy mutató a DNS-ben, a mögötte lévő rekordok pedig eltérhetnek a feloldó, a napszak és az ügyfél által előnyben részesített címcsalád szerint. Két ember, aki ugyanazt a címtárbejegyzést olvassa, jogosan juthat különböző gépekre. A név megmondja, mit kérjen, nem azt, hogy mi fog válaszolni.

A keresési eredmények is figyelmeztetés nélkül változnak, ami számít, amikor egy profil címet rögzít a név helyett. Az a profil, amelybe a régi cím be van égetve, továbbra is meghiúsul, miután az üzemeltető áthelyezi a szolgáltatást, és a hiba zárolt portnak tűnik. Tartsa a feloldott címeket a profil mellett, hogy egy későbbi összehasonlításnak legyen kiindulópontja. Ezek egyike sem mondja meg, ki viszi a másik végét.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

A szállítás és az identitás külön kérdés

A gazdagépnéven megnyitott weboldal egyetlen figyelőt tesztel egyetlen porton. Az OpenVPN, az IPsec és az SSTP máshol figyel, a saját portjain és protokolljain, tehát egy elérhető webkiszolgáló semmit sem mond róluk.

A címtárbejegyzésnek és a profilnak egyeznie kell a szállításban, a portban és a hitelesítő adatokban. Az identitást a tanúsítványlánc vagy a partnerkulcs ujjlenyomata igazolja, amellyel az ügyfél konfigurálva lett, nem a gazdagépnév írásmódja. Egy ismerős projektnevet tartalmazó név csak azt bizonyítja, hogy valaki regisztrálta. Olvassa el a szolgáltatás által bemutatott tanúsítványt, és hasonlítsa össze a kiállítót és az alanyt azzal, amit a profil elvár.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Az országnevek nem helyszíni audit

Egy jp vagy de címke egy címtárban regisztráció, és az IP-geolokációs adatbázisok elég gyakran ellentmondanak egymásnak ahhoz, hogy egyiket se érdemes abszolút igazságnak tekinteni. A megosztott tárhely, az anycast és az egyszerű hibás konfiguráció mind elmozdítja a megfigyelt helyet a címkétől.

A gyakorlati próba az alkalmazás saját útvonala: melyik címre jut el, és mit mutat a kilépési cím ellenőrzése a munkamenet belsejéből. A megfigyelt kilépési cím az útvonal tulajdonsága abban a pillanatban, nem a névhez kötött garancia. Az önkéntes címtárak újabb réteget adnak hozzá, mert aki egy bejegyzést regisztrált, nem feltétlenül az üzemelteti a gépet. Jegyezze fel, mit mért és mikor, nem azt, amit a bejegyzés ígért.

Ellenőrizze a kínált szolgáltatást, aztán az üzemeltetőt

Miután a szállítás és az identitás tisztázódott, a fennmaradó kérdés az üzemeltető viselkedése, és ehhez dokumentált bizonyíték kell, nem következtetés. Az adatvédelmi szabályzat, egy közzétett elérhetőség és egy átláthatósági közlemény a szándék bizonyítéka; egyik sem bizonyítja a gyakorlatot, és mindhárom hiánya is információ.

Egy nyilvános vagy önkéntesek által üzemeltetett csomópont esetén tételezze fel, hogy a kilépés megosztott, és aki viszi, láthatja, mi halad át rajta. Ez a feltevés, nem a gazdagépnév döntse el, mit küld a csatornán.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Tartsa meg a nevet arra, amiben jó: egy végpont megtalálására és a hozzákapcsolódásra. Mindent, ami ezen túl van, külön kell tesztelni, azon a napon, amikor számít.