რა შეიძლება და რა არ შეიძლება დაამტკიცოს VPN-ის ჟურნალმა დათვალიერებაზე
სესიის, ამომხსნელის, ნაკადის და აპლიკაციის ჩანაწერები სხვადასხვა მოვლენას ამტკიცებს. აირჩიეთ აუდიტის კითხვა და იდენტობის შეერთება, სანამ ამას დათვალიერების ისტორიას უწოდებთ.
სანამ ჟურნალების შემგროვებელს აირჩევთ, გადაწყვიტეთ, რომელი მოვლენა უნდა დაადგინოს აუდიტმა. კითხვა იმის შესახებ, რომელი VPN სესია დაუკავშირდა დანიშნულების მისამართს, განსხვავდება კითხვისგან, თუ რომელმა ადამიანმა გახსნა კონკრეტული გვერდი. ორივეს სჭირდება განსხვავებული ჩანაწერები, განსხვავებული შეერთებები და ნდობის განსხვავებული დონეები. OpenVPN კავშირის ჟურნალი პასუხობს პირველს და ვერ უპასუხებს მეორეს.
დაასახელეთ მოვლენა შემგროვებლის არჩევამდე
სესიის ჩანაწერი აჩვენებს მიღებულ იდენტობას, დაწყებისა და დასრულების დროს და მისამართს, რომელიც სერვერმა საკუთარი პოლიტიკით გამოყო. ამომხსნელის ჟურნალი აჩვენებს, რომ სახელი ამ ამომხსნელში იკითხა. ნაკადის ჩანაწერი აჩვენებს მისამართებს, პორტებს, პროტოკოლს და დროს, ხოლო აპლიკაციის ჟურნალი — ტრანზაქციას, რომელიც ამ აპლიკაციამ რეალურად დაამუშავა. ამ ოთხიდან არც ერთი არ ცვლის მეორეს.
თითოეული მათგანი ადგენს ერთ მოვლენას და სხვებს ღიად ტოვებს. კითხვის წინასწარ ჩაწერა ხელს გიშლით შეადგინოთ ისტორია, რომელსაც მონაცემები ვერ შეუჭერს მხარს.
journalctl -u [email protected] --since today | grep -i 'peer info\|assigned' cat /etc/openvpn/server/openvpn-status.log | head -20 conntrack -L -p tcp --dport 443 2>/dev/null | head -20
პირველი ბრძანება აჩვენებს სესიის მოვლენებს სერვისის ჟურნალიდან. მეორე ბეჭდავს მიმდინარე კლიენტების სიას გამოყოფილი მისამართებით, რაც არის ის დაკავშირება, რომელსაც აუდიტის შეერთება ეყრდნობა. მესამე აჩვენებს ნაკადის ცოცხალ მდგომარეობას, რომელიც სასარგებლოა მხოლოდ მაშინ, სანამ კავშირი არსებობს.
ძიება ვიზიტი არ არის
ბრაუზერი სახელებს სპეკულაციურად ხსნის, პასუხებს ქეშში ინახავს და ხელახლა იყენებს მათ დაკვირვებულ ამომხსნელს ხელახლა კითხვის გარეშე. ამიტომ ამომხსნელის ჟურნალში სახელი ამტკიცებს ძიებას და არა ვიზიტს. DNS HTTPS-ზე აფართოებს ამ ნაპრალს, რადგან ამისთვის კონფიგურირებული ბრაუზერი კითხვებს აგზავნის იქ, სადაც თქვენი ჩვეულებრივი აღრიცხველი მათ ვერასდროს ხედავს.
დანიშნულების მისამართები თავისთავად უკეთესი არ არის. ერთი მისამართი შეიძლება მასპინძლობდეს ბევრ დაუკავშირებელ საიტს, უკუ DNS არის ვარაუდი და არა აღდგენა, და TLS ხელის ჩამორთმევის დროს ხილული ჰოსტის სახელი არ არის დაშიფრული სესიის შიგნით არსებული მოთხოვნის გზა.
ზუსტი ტრანზაქციებისთვის გჭირდებათ თავად აპლიკაციის მოვლენების ჩანაწერები ან პროქსის ისეთი დიზაინი, რომელიც ღიადაა მხარდაჭერილი ჟურნალირებისთვის. CONNECT გვირაბი პროქსის აძლევს დანიშნულებას და მოცულობას, და არა მის შიგნით გვერდების გზებს. ქსელზე ადმინისტრაციული წვდომა არ არის ლიცენზია აპლიკაციის ნდობის მოდელის ჩუმად ჩასანაცვლებლად.
შეუთავსეთ იდენტობა და დრო, სანამ პირს დაასახელებთ
შიდა წყაროს მისამართის მქონე ნაკადის ჩანაწერი არაფერს ნიშნავს, ვიდრე ეს მისამართი იმავე დროს არ შეუერთდება სესიას. მისამართები ხელახლა გამოიყენება და იგივე მისამართი შეიძლება საათით ადრე სხვა სესიას ეკუთვნოდეს. სტატიკური გამოყოფა კავშირის შენარჩუნების ერთი გზაა, არა ერთადერთი.
თარგმანის საზღვრები კიდევ უფრო ასუსტებს შეერთებას. თუ რამდენიმე მოწყობილობა უკვე იზიარებდა ერთ წყაროს მისამართს თქვენს დაკვირვების წერტილამდე, საუკეთესო, რისი იდენტიფიცირებაც შეგიძლიათ, არის საერთო კარიბჭის სესია და არა ერთი მოწყობილობა. სერთიფიკატს ან ანგარიშს, რომელსაც რამდენიმე ადამიანი იყენებს, იგივე ეფექტი აქვს.
ჩაწერეთ დროის ზონები, საათის წყაროები, დაკვირვების წერტილები და თარგმანის ყოველი ნაბიჯი. დაკარგული ჩანაწერები შეიძლება ნიშნავდეს, რომ ნაკადის ჩანაწერი მოძველდა, სენსორი გვერდი აუარეს ან აპლიკაციის ჟურნალი გამორთული იყო. არყოფნა არ არის მტკიცება, რომ არაფერი მომხდარა.
შემდეგ განსაზღვრეთ მინიმალური ველები, დაშვებული მკითხველები და შენახვის ვადა გამოცხადებული მიზნისთვის. კორელაცია და არასწორი მიკუთვნება დიზაინის საკითხებია და არა გვიანდელი ფიქრი, და ადამიანების იდენტიფიცირებელი მეტამონაცემები იმსახურებს იმავე დაცვას, რაც იდენტობის დაკავშირებას, რომელზეც ისინი დამოკიდებულნი არიან.
გამოსცადეთ აუდიტი თქვენს მიერ კონტროლირებული აქტივობით
შექმენით დაშვებული ტრაფიკი, რომლის სესია და აპლიკაცია უკვე იცით, შემდეგ შეამოწმეთ, რა დაიჭირა თითოეულმა ჩანაწერმა რეალურად. შეასრულეთ ძიება გვერდის ჩატვირთვის გარეშე, ჩატვირთეთ გვერდი ქეშიდან და გახსენით კავშირი პროქსის მეშვეობით, და ნახეთ რომელი მოვლენები გამოჩნდება.
მოახსენეთ მოვლენა, რომელსაც მტკიცებულებები უჭერენ მხარს და თქვით, რას არ ფარავს. გამოცხადებული მოცულობის მოკრძალებული ჩანაწერი უძლებს განხილვას; ვარაუდებისგან შედგენილი ამბიციური დათვალიერების ისტორია არ უძლებს.