Կարո՞ղ է VPN օպերատորը տեսնել, թե որ կայքերն եք այցելում
Լռելյայն OpenVPN սերվերը գրանցում է սեսիաներ, ոչ թե URL-ներ։ Համեմատեք միացումների մատյանը, թունելի ձայնագրումը և DNS արտահոսքի ստուգումը, նախքան կհայտարարեք, թե ինչ է տեսնում օպերատորը։
Հարցրեք, թե ինչ կարող է տեսնել VPN-ը, և պատասխանը կախված է նրանից, թե որտեղ եք դուք կանգնած ուղու վրա։ Սեսիայի շերտում օպերատորն ունի նույնականացման իրադարձություններ և բայթերի հաշվարկ։ Փաթեթների շերտում նա ունի նպատակակետ հասցեներ և ժամանակացույց։ DNS շերտում նա կարող է ունենալ հենց անունները։ Յուրաքանչյուր շերտ պատասխանում է տարբեր հարցի, և ոչ մի անջատիչ ձեզ չի տեղափոխում դրանց միջև։
Որոշեք շերտը, նախքան պնդում անելը
Նույն միացումը յուրաքանչյուր կետում տարբեր գրառումներ է ստեղծում, և գաղտնիության մասին պնդումը իմաստ ունի միայն այն դեպքում, երբ նշում է այդ կետը։ Կարդացեք աղյուսակը սյունակ առ սյունակ՝ ինչ գոյություն ունի այդ շերտում, ինչ կարող է այնտեղ տեսնել օպերատորը և ինչ դեռ չեն կարող ասել նույն գրառումները։
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
Մեկ շերտը որպես ամբողջ պատկեր կարդալը սկիզբն է թե՛ չափազանցված պնդումների, թե՛ կեղծ հանգստության։ Մատակարարը, որն ասում է, թե չի գրանցում զննարկումը, կարող է ճիշտ լինել URL-ների գրանցման հարցում և միևնույն ժամանակ պահել սեսիաների գրառումներ, իսկ միայն հասցեներ ցույց տվող փաթեթների ձայնագրումը հակադարձ որոնումների և գուշակությունների առանց զննարկման պատմություն չի դառնում։
Երբ գնահատում եք քաղաքականություն, գտեք այն նախադասությունը, որը նկարագրում է յուրաքանչյուր շերտը։ Եթե քաղաքականությունը չի բաժանում դրանք, հարցրեք, թե ինչ գրառումներ կան, փոխանակ ընդունելու գաղտնագրման մասին ընդհանուր պնդում։
Սեսիաների գույքագրում. ինչ է պահում սովորական OpenVPN սերվերը
Լռելյայն կարգավորումներով OpenVPN սերվերը չի ձայնագրում երթևեկությունը։ Սովորական արդյունքը սեսիաների գույքագրումն է՝ ո՞ր հաշիվն է նույնականացել, ո՞ր աղբյուր հասցեից է եկել, սկզբի և ավարտի ժամադրոշմերը, տրված թունելի հասցեն և երկու ուղղությունների բայթերի ընդհանուրը։ Դա սեսիաների գույքագրում է, ոչ թե նպատակակետերի ցանկ։
Գրանցման ընտրանքները կարող են մանրամասներ ավելացնել։ Ավելի բարձր մանրամասնության մակարդակն ավելի շատ է գրում ձեռքսեղմման մասին, իսկ կարգավիճակի ֆայլը կարող է թվարկել միացած հաճախորդներին, բայց ոչ մեկը սերվերը թափանցիկ պրոքսի չի դարձնում։ URL-ներ ստանալու համար պետք է դադարեցնել TLS-ը կամ գործարկել բացահայտ պրոքսի, և երկուսն էլ փոխում են վստահության դասավորությունը, այլ ոչ թե միացնում թաքնված հատկություն։
Այդ պատճառով զննարկման մատյան չկա պնդման ճշգրիտ տարբերակը նեղ է թվացածից։ Սերվերը չգիտի էջը, բայց գիտի, որ սեսիա է եղել և մոտավորապես ինչքան տվյալ է անցել դրա միջով։ Պահվո՞ւմ է այդ սեսիայի գրառումը և ինչքա՞ն ժամանակ՝ դա առանձին քաղաքականության հարց է։
Ներքին և արտաքին փաթեթները տարբեր ապացույցներ են
Փաթեթների ձայնագրումը ցույց է տալիս, թե ինչ է իրականում անցնում թունելով։ Սերվերի վրա նշեք թունելի ինտերֆեյսը և գրեք ֆայլում, որը կարելի է վերլուծել առանց ցանցի՝
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headԱյդ ֆայլը պարունակում է ապակոդավորված ներքին երթևեկություն՝ որպես աղբյուր հաճախորդի թունելի հասցեն, նպատակակետ հասցեն և պորտը, փաթեթների չափերը և ժամանակը։ Այն չի պարունակում HTTP ուղին կամ պատասխանի մարմինը, եթե TLS-ը ինչ-որ տեղ չի դադարեցվել, և դա զգայուն տվյալ է, որի պահպանումը քաղաքականության որոշում է, ոչ թե վրիպազերծման հարմարություն։
Ֆիզիկական ինտերֆեյսի ձայնագրումն այլ բան է ցույց տալիս։ Այնտեղ երևում են VPN վերջնակետին ուղղված արտաքին փաթեթներ՝ ներսում գաղտնագրված բովանդակությամբ։ Ֆայլում անկապ հասցեների հայտնվելը նորմալ է, երբ գոյություն ունի վիրտուալ ադապտեր, որովհետև թունելի սարքը կրում է ներքին հոսքերը, իսկ գաղտնագրված փոխադրումը՝ արտաքինները։
Հարցրեք, թե որ հարցին պետք է պատասխանի ձայնագրումը։ Հավելվածի կողմից թունելի օգտագործումը երևում է վիրտուալ ադապտերի վրա, թունելի հասանելիությունը դեպի վերջնակետ՝ ֆիզիկականի վրա։ Ֆայլերից որևէ մեկը որպես ամբողջական պատկեր օգտագործելը տալիս է եզրակացություններ, որոնք տվյալները չեն կարող հիմնավորել։
DNS-ն այն տեղն է, որտեղ անունները դառնում են տեսանելի
DNS-ը մնում է գործնական բացառությունը։ Լուծիչը տեսնում է այն անունները, որոնք իրենից խնդրում են լուծել, ուստի ով կառավարում է այն, իմանում է, թե որ կայքերն է հաճախորդը փնտրում, նույնիսկ երբ հետագա միացումները գաղտնագրված են։ Թունելի ձայնագրումը ցույց է տալիս հասցեներ, լուծիչը՝ անուններ։
Ստուգեք, թե որ հասցեով է լուծիչը հասել արտաքին ծառայությանը։ Պատասխանը լուծիչի ելքային հասցեն է, և VPN ելքի հետ համեմատելը ցույց է տալիս՝ հարցումն անցել է թունելով, թե ոչ՝
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53Եթե այդ հասցեն համընկնում է տեղական միացման, այլ ոչ թե թունելի ելքի հետ, ապա որոնումը շրջանցել է VPN-ը, և անունը տեսանելի է եղել տեղական ուղու վրա։ Կրկնեք ստուգումը հաճախորդի թարմացումից հետո, որովհետև նոր տարբերակը կարող է փոխել, թե որ լուծիչն է տեղադրում պրոֆիլը։
Գաղտնագրված DNS-ը տեղափոխում է տեսանելիությունը, այլ ոչ թե վերացնում։ Ցանցն այլևս չի տեսնում հարցումը, բայց լուծիչը դեռ տեսնում է, և վստահության հարցը պարզապես փոխում է ձեռքեր։ Միացման ձեռքսեղմման մեջ TLS սերվերի անունը ևս մեկ մասնակի ազդանշան է. այն հաճախ պահպանվում է նույնիսկ երբ բովանդակությունը անթափանց է, ուստի նպատակակետ հասցեները միակ մետատվյալները չեն, որ փոխադրող սերվերը կարող է դիտել։
Երեք տիպի գրառումներ և ով կարող է կարդալ դրանք
Սեսիաների հաշվառումը, անուն առ անուն գրառումները և արտահոսքի ապացույցները երեք տարբեր արտադրանք են՝ երեք տարբեր պարտավորություններով։ Սեսիաների մատյանները էժան են և ցածր զգայունության, և պատասխանում են, թե ով երբ միացավ։ Անուն առ անուն գրառումները պահանջում են գրանցող լուծիչ կամ բացահայտ պրոքսի և ստեղծում են բացահայտման պարտավորություն տուժած մարդկանց նկատմամբ։ Արտահոսքի ապացույցը հաճախորդի կողմի ստուգում է, որը համեմատում է լուծիչի բացահայտածը թունելի ելքի հետ։
Գրանցեք, թե այս երեքից որն եք վարում, ով կարող է կարդալ այն և որքան ժամանակ այն մնում է։ Այն պնդումները, թե ծառայությունը մատյաններ չի պահում, նկարագրում են մեկ շերտ և ճշմարիտ են մնում միայն այդ սահմաններում։ Նույն մատակարարը կարող է ճիշտ լինել սեսիաների հարցում և սխալ՝ DNS-ի։
Պահեք ստուգումը վերարտադրելի. նույն լուծիչի հարցումը, նույն ձայնագրման ինտերֆեյսը և նույն համեմատությունը։ Գաղտնիության պնդումը, որը հնարավոր չէ ստուգել անվանված շերտում, կարգախոս է, ոչ թե գործառնական փաստ։