რისი დამტკიცება შეუძლია საჯარო VPN ჰოსტის სახელს და რისი არა

ჰოსტის სახელები და ქვეყნის დროშები სერვერის შესახებ ფაქტებად გამოიყურება, და არც ერთი მათგანი არ არის ფაქტი. სახელი მიუთითებს მისამართებზე, რომლებიც შეიძლება შეიცვალოს, ხოლო მასში არსებული სიტყვები იმან აირჩია, ვინც ის დაარეგისტრირა. პროტოკოლს, გასვლის ადგილს და ჟურნალირების ქცევას თითოეულს საკუთარი მტკიცებულება სჭირდება. დაიწყეთ იმით, რაში იხსნება სახელი სინამდვილეში, შემდეგ გადაწყვიტეთ, რა არის ჯერ კიდევ უცნობი.

სახელი იხსნება და სხვა არაფერია გადაწყვეტილი

ჰოსტის სახელი მაჩვენებელია DNS-ში, და მის უკან არსებული ჩანაწერები შეიძლება განსხვავდებოდეს გადამწყვეტის მიხედვით, დღის დროის მიხედვით და იმ მისამართების ოჯახის მიხედვით, რომელსაც კლიენტი ამჯობინებს. ორი ადამიანი, რომლებიც ერთსა და იმავე კატალოგის ჩანაწერს კითხულობენ, სრულიად კანონიერად შეიძლება სხვადასხვა მანქანას მიაღწიონ. სახელი გეუბნებათ, რა უნდა ითხოვოთ, და არა ის, თუ რა უპასუხებს.

ძიების შედეგებიც იცვლება შეტყობინების გარეშე, რაც მნიშვნელოვანია, როცა პროფილი სახელის ნაცვლად მისამართს ამაგრებს. პროფილი, რომელშიც ძველი მისამართი მყარად ჩაწერილია, განაგრძობს წარუმატებლობას მას შემდეგ, რაც ოპერატორი სერვისს გადაიტანს, და წარუმატებლობა დაბლოკილი პორტის მსგავსია. შენახეთ ამოხსნილი მისამართები პროფილის გვერდით, რათა შემდგომ შედარებას საფუძველი ჰქონდეს. ამიდან არც ერთი არ ამბობს, ვინ მართავს მეორე მხარეს.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

ტრანსპორტი და იდენტობა ცალკე კითხვებია

ჰოსტის სახელზე გახსნილი ვებ გვერდი ერთ მსმენელს ამოწმებს ერთ პორტზე. OpenVPN, IPsec და SSTP სხვაგან ისმენენ, საკუთარ პორტებზე და პროტოკოლებზე, ამიტომ ხელმისაწვდომი ვებ სერვერი მათ შესახებ არაფერს ამბობს.

კატალოგის ჩანაწერი და პროფილი უნდა შეთანხმდეს ტრანსპორტზე, პორტსა და სერთიფიკატებზე. იდენტობა მოწმდება სერთიფიკატების ჯაჭვით ან პარტნიორის გასაღების ანაბეჭდით, რომლითაც კლიენტი კონფიგურირდა, და არა ჰოსტის მართლწერით. სახელი, რომელიც ნაცნობ პროექტის სიტყვას შეიცავს, მხოლოდ იმას ამტკიცებს, რომ ვიღაცამ ის დაარეგისტრირა. წაიკითხეთ სერთიფიკატი, რომელსაც სერვისი წარმოადგენს, და შეადარეთ გამომცემი და სუბიექტი იმას, რასაც პროფილი ელოდება.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

ქვეყნის სიტყვები ადგილმდებარეობის აუდიტი არ არის

კატალოგში jp ან de იარლიყი რეგისტრაციაა, და IP გეოლოკაციის მონაცემთა ბაზები საკმარისად ხშირად ეწინააღმდეგებიან ერთმანეთს, რომ არც ერთი მათგანი არ იმსახურებს აბსოლუტურ ჭეშმარიტებად მიჩნევას. გაზიარებული ჰოსტინგი, anycast და უბრალო არასწორი კონფიგურაცია ყველა აშორებს დაკვირვებულ ადგილს იარლიყისგან.

პრაქტიკული გამოცდა აპლიკაციის საკუთარი გზაა: რომელ მისამართს აღწევს და რას აჩვენებს გასვლის მისამართის შემოწმება სესიის შიგნიდან. დაკვირვებული გასვლის მისამართი იმ მომენტში მარშრუტის თვისებაა, და არა სახელზე მიბმული გარანტია. მოხალისეთა კატალოგები კიდევ ერთ ფენას ამატებენ, რადგან ვინც ჩანაწერი დაარეგისტრირა, სულაც არ არის ის, ვინც მანქანას მართავს. ჩაწერეთ, რა გაზომეთ და როდის, და არა ის, რაც ჩანაწერმა დაგპირდათ.

შეამოწმეთ შემოთავაზებული სერვისი, შემდეგ ოპერატორი

მას შემდეგ, რაც ტრანსპორტი და იდენტობა დადგინდა, დარჩენილი კითხვა ოპერატორის ქცევაა, და ეს მოითხოვს დოკუმენტურ მტკიცებულებას და არა დასკვნას. კონფიდენციალურობის პოლიტიკა, გამოქვეყნებული კონტაქტი და გამჭვირვალობის შეტყობინება განზრახვის მტკიცებულებაა; არც ერთი მათგანი არ ამტკიცებს პრაქტიკას, და სამივეს არარსებობაც ინფორმაციაა.

საჯარო ან მოხალისეების მიერ მართული კვანძისთვის ჩათვალეთ, რომ გასვლა გაზიარებულია და ვინც მას მართავს, ხედავს, რა გადის მასში. ეს ვარაუდი, და არა ჰოსტის სახელი, უნდა წყვეტდეს, რას აგზავნით გვირაბში.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

შეინახეთ სახელი იმისთვის, რაშიც კარგია: ბოლო წერტილის პოვნა და მასთან დაკავშირება. ამის მიღმა ყველაფერი ცალკე უნდა შემოწმდეს, იმ დღეს, როცა ეს მნიშვნელოვანია.