Kann e VPN-Betribber gesinn, wéi eng Säite si besicht?

Frot, wat de VPN gesäit, an d'Äntwert hänkt dovun of, wou Dir am Wee stitt. Op der Sitzungsschicht huet de Betribber Authentifikatiounsevenementer a Bytezuelen. Op der Paketschicht huet en Ziladressen an Zäitpunkten. Op der DNS-Schicht kann en d'Nimm selwer hunn. All Schicht beäntwert eng aner Fro, an keen eenzegen Schalter bréngt Iech tëscht hinnen.

Bestëmmt d'Schicht, ier Dir eng Behauptung mécht

Déi selwecht Verbindung produzéiert op all Punkt aner Opzeechnungen, an eng Ausso iwwer Privatsphär ass nëmme sënnvoll, wa se de Punkt nennt. Liest d'Tabell Kolonn fir Kolonn: wat op där Schicht existéiert, wat e Betribber do gesäit a wat déi selwecht Opzeechnunge nach ëmmer net soen.

Eng Schicht als dat ganzt Bild liesen ass den Ufank vun iwwerdriwwenen Aussoen an och vu falscher Berouegung. En Ubade, dee sot, en protokolléiert d'Browsing net, kann bei URL-Loggen korrekt sinn an awer Sitzungsopzeechnunge behalen, an eng Paketopnam, déi nëmmen Adressen weist, gëtt net ouni Réckwäertssich an Vermutunge zu enger Browsinghistorie.

Wann Dir eng Politik bewäert, fannt de Saz, deen all Schicht beschreift. Wann d'Politik se net trennt, frot, wéi eng Opzeechnunge existéieren, amplaz eng allgemeng Ausso iwwer Verschlësselung ze akzeptéieren.

Sitzungsinventar: wat en normale OpenVPN-Server behält

Mat Standardastellunge hält OpenVPN de Server de Verkéier net fest. D'Normalsausgab ass en Sitzungsinventar: de Kont, dee sech authentifizéiert huet, d'Quelladress, vun där en komm ass, Zäitstempel fir Ufank an Enn, déi zougewisen Tunneladress an d'Bytegesamtsummen a béid Richtungen. Dat ass en Inventar vu Sitzungen, net eng Lëscht vun Ziler.

Logoptiounen kënnen Detailer bäisetzen. Eng méi héich Ausféierlechkeet schreift méi iwwer den Handshake, an eng Statusdatei kann déi verbonne Clienten oplëschten, awer keent vun deenen zwee mécht de Server zu engem transparente Proxy. Fir URLen ze produzéieren, muss TLS terminéiert ginn oder en explizite Proxy lafen, an dat verännert béides d'Vertrauensarrangement amplaz eng verstoppte Funktioun anzeschalten.

Duerfir ass déi korrekt Versioun vun der Ausso, et gëtt kee Browsinglog, méi enk wéi se kléngt. De Server kennt d'Säit net, awer en weess, datt eng Sitzung existéiert huet a ronn wéi vill Daten duerch si gaangen ass. Ob déi Sitzungsopzeechnung behale gëtt a wéi laang, ass eng separat Politikfro.

Innen- an Aussepakete si verschidde Beweiser

Eng Paketopnam ass de Wee, fir ze gesinn, wat wierklech duerch den Tunnel geet. Um Server nennt Dir d'Tunnelschnittstell a schreift an eng Datei, déi een offline analyséiere kann:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Déi Datei enthält déchiffréierten Innenverkéier: d'Tunneladress vum Client als Quell, d'Ziladress an de Port, d'Paketgréissten an den Zäitpunkt. Si enthält den HTTP-Wee oder de Kärend net, ausser TLS gouf irgendwou terminéiert, an et si sensibel Dono, deenen hir Opbewahrung eng Politikentscheedung ass an net eng Bequemlechkeet fir Fehlersich.

Eng Opnam op der physescher Schnittstell weist eppes Aneres. Do gesitt Dir Aussepakete Richtung VPN-Endpunkt, mat de verschlësselte Nutzdaten dobannen. Onverbonnen Adressen an där Datei sinn normal, soubal et e virtuelle Adapter gëtt, well den Tunnelapparat déi innen Flëss dréit, wärend den verschlësselte Transport déi baussen dréit.

Frot, op wéi eng Fro d'Opnam soll äntweren. Den Tunnelverbrauch vun enger Applikatioun ass um virtuelle Adapter ze gesinn; d'Erreechbarkeet vum Tunnel zum Endpunkt ass um physesche ze gesinn. Eng vun den zwou Dateien als dat ganzt Bild ze behandelen ergëtt Schlussfolgerungen, déi d'Donée net stäipen.

DNS ass de Punkt, wou d'Nimm visibel ginn

DNS bleift déi praktesch Ausnam. Den Resolver gesäit d'Nimm, déi en opgeléise soll, also léiert deen, deen en bedreift, wéi eng Siten e Client sicht, och wann déi spéider Verbindunge verschlësselt sinn. D'Tunnelopnam weist Adressen; de Resolver weist Nimm.

Kuckt no, mat wéi enger Adress den Resolver en externe Service erreecht huet. D'Äntwert ass d'Egressadress vum Resolver, an de Verglach mam VPN-Exitz seet Iech, ob d'Ufro duerch den Tunnel gaangen ass:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Wann déi Adress mat der lokaler Verbindung iwwereneestëmmt an net mam Tunnel-Exit, huet d'Sich de VPN ëmgaang an den Numm war um lokale Wee visibel. Widderhëlt de Test no engem Clientupdate, well eng nei Versioun ka änneren, wéi en Resolver de Profil installéiert.

Verschlësselte DNS verréckelt d'Visibilitéit amplaz se ze entfernen. Den Netzwierk gesäit d'Ufro net méi, awer de Resolver nach ëmmer, an d'Vertrauensfro wiesselt einfach d'Hänn. Den TLS-Servernumm am Handshake vun der Verbindung ass nach en Deelsignal: en iwwerlieft dacks och, wann d'Nutzdaten unduerchsiichteg sinn, also sinn Ziladressen net déi eenzeg Metadaten, déi e Weiderleeserver observéiere kann.

Dräi Aarte vun Opzeechnungen a wien se liese kann

Sitzungscomptabilitéit, Opzeechnunge pro Numm a Leckbeweiser sinn dräi verschidde Produkter mat dräi verschiddenen Obligationen. Sitzungslogge si bëlleg a wéineg sensibel, a si beäntweren, wien sech wéini verbonnen huet. Opzeechnunge pro Numm verlaangen e Resolver, dee protokolléiert, oder en explizite Proxy, a si schafe fir déi betraffe Mënschen eng Offenbarungspflicht. Leckbeweiser sinn en Test op der Clientssäit, deen d'Resolverbefënn mat dem Tunnel-Exit vergläicht.

Schreift op, wat vun dësen dräi Dir bedreift, wien et liese kann a wéi laang et bleift. Aussoen, datt e Service keng Loggen hält, beschreiwen eng Schicht, a si bleiwen nëmmen an deem Kader richteg. Dee selwechte Ubade kann iwwer Sitzunge korrekt an iwwer DNS falsch sinn.

Halt den Test reproduzéierbar: déi selwecht Resolverufro, déi selwecht Opnamsschnittstell an dee selwechte Verglach. Eng Privatsphärsausso, déi op enger genannter Schicht net getest ka ginn, ass e Slogan an net eng operationell Tatsaach.