転送された VPN ポート：訪問者とプロバイダーに見えるもの

ポートを転送すると、第三者はプロバイダーの公開アドレスを通じてサービスへの経路を得ます。この一つの変更が、露出と識別されやすさの両方に同時に影響しますが、どちらもサービスを運営する人の名前を公開するわけではありません。両者を切り離しておけば、'転送'を匿名性とみなす誤りと、転送を身元特定とみなす誤りという、正反対の失敗を避けられます。三つの問いが両者を明確に分け、その答えはそれぞれ別の証拠から導かれます。

三つの対象、三つの異なる問い

公開アドレスは、その背後で応答するアプリケーションから切り離し、さらにその両方を、この仕組みを運営する人や組織から切り離してください。それぞれに独自の受け手と独自の証拠があります。混ぜ合わせると、整った響きの誤った結論が生まれます。

その順番で検討してください。第一は到達可能性の問い、第二はアプリケーションの身元の問い、第三は帰属の問いであり、最初の二つは第三に部分的にしか光を当てません。ポート転送は非公開かと誰かが尋ねたら、三つのどれを指すのかを尋ねてください。答えは実際に異なり、ポリシーのページは通常そのうち一つだけを扱います。

訪問者がエンドポイント間で結び付けられるもの

訪問者はエンドポイントに接続し、'ホスト名'、証明書の名前、ログインページ、公開されたコンテンツといった、アプリケーションが正当に提示するものを見ます。こうした細部は、通常のアクセス先がトンネルの背後に隠れていても、そのサービスを識別させます。同じ名称のサイトを提示する二つのエンドポイントは、観測者に両者を結び付ける根拠を与えます。この振る舞いに漏えいはありません、アプリケーションは見られるために設計されているからです。

二つのエンドポイント間で証明書、リダイレクト、ページ内容が一致することは、それらが一つのサービスに属するという強い信号です。それはサービスについての記述であって、人間についての記述ではなく、別の記録が両者を結び付けるまではそうであり続けます。

IETF のプライバシーガイドラインは、永続的な識別子によって、やり取りを時間をまたいで相関させられることを説明しています。相関は帰属ではありません。一つのサービスを複数の人が管理でき、アドレスも無関係な加入者間を移り得ますが、この区別があるからこそ、相関の所見は告発になりません。

転送プロバイダーが知っておくべきこと

受信接続を届けるには、プロバイダーのシステムは、公開された入口と内部の宛先との間の有効な関係を保持しなければなりません。この運用上の事実は、訪問者が見るものとは異なり、プロバイダーが保持することを選ぶものともまた異なります。ポリシーのページを読むときは、一方は避けられず他方は判断なので、二つの問いを切り離してください。閲覧履歴を保存しないという表明は、マッピングの履歴については何も述べていません。

過去のマッピング、アカウントとの関連、接続の記録が残るかどうかは、プロバイダーの実際のポリシーと実装に関わる問いです。転送は、すべての区分が記録されることを証明するものではありません。マッピングが取り下げられた後にどの項目が残るのか、そしていつまで残るのかを具体的に尋ねてください。

受信側の到達可能性は、クライアントの送信側の経路、DNS、障害時の挙動とも別です。マッピングを追加しても、クライアントの残りの通信がどう出ていくかは説明されません。

マッピングの持続時間が露出を変える

マッピングは、セッションの間、予約の間、あるいはそれを変更するプロバイダーのポリシーに従って存続し得ますが、恒久的な割り当てとも常時'ローテーション'とも決めつけるべきではありません。製品の文書化された挙動を読み、観察したことを記録してください。一週間離れた二回の観察は、製品ページのどの宣伝文句よりもローテーションについて多くを語ります。観察した間隔は、露出の一部だから、メモでエンドポイントの隣に書き留めてください。

寿命は、どのような相関が可能かを変えます。安定したエンドポイントは一つのサービスの長期追跡を招き、回転するエンドポイントは各観察を前回と結び付けるのを難しくします。どちらの性質もプロバイダーの記録についての保証ではなく、どちらもサービス自体が何を公開するかの判断を代替しません。

意図して公開し、それから二つの扉を閉じる

プロバイダーが必要なプロトコルを許可していること、対象のリスナーが意図したものであること、ホストとアプリケーションの制御が依然としてアクセスを制限していることを確認してください。公開する前に、サービスが部外者に何を見せるかを確かめます。次の二つのコマンドは、訪問者が受け取る証明書とヘッダーを示します。

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

何かを公開しても、その管理ページを露出させたりアプリケーションのログインを外したりしてよい理由にはなりませんし、翻訳が TLS を提供するわけでもありません。通信がどう届くかに関わらず、暗号化されたプロトコルとそのサーバー身元の確認を維持してください。そのうえで、'バナー'やデバッグ用ページがサービスが意図する以上に多くを部外者に伝え得るため、応答ヘッダーを確認してください。二つのコマンドが返すものは、観測者が得るのと同じ眺めです。

サービスを廃止するとは、二つの閉鎖であり、一つではありません——所有者を通じてマッピングを取り下げ、そのうえでリスナーと権利を別項目として扱います。ブックマークしたエンドポイントが応答をやめても、資格情報は失効せず、すでに届けられた情報も取り戻せません。