Wat en ëffentlechen VPN-Hostname beweise kann an wat net

Hostnimm a Landfändelen ausgesinn wéi Fakten iwwer e Server, an et ass kee vun deenen zwee. En Numm weist op Adressen, déi sech änneren kënnen, an d'Wierder dran huet dee gewielt, deen en registréiert huet. De Protokoll, d'Ausgangslokatioun an d'Logverhalen brauche jiddwereen säin eegene Beweis. Fänkt domat un, wourop den Numm tatsächlech opléist, an entscheet dann, wat nach onbekannt ass.

Den Numm léist op, an soss ass näischt gekläert

En Hostname ass en Zeiger am DNS, an d'Enregistrementer hannendrun kënnen no Resolver, no Tageszäit an no der Adressfamill, déi de Client virzitt, ënnerschiddlech sinn. Zwee Leit, déi deen selwechten Dossier-Antrag liesen, kënnen op legalem Wee verschidde Maschinnen erreechen. Den Numm seet, wat Dir froe sollt, net wat äntwert.

Och d'Resultater vun der Sich änneren sech ouni Ukënnegung, wat zielt, wann e Profil eng Adress amplaz vum Numm festhält. E Profil, an deem déi al Adress haart agebaut ass, versot weider, nodeems de Bedreiwer de Service verlagert huet, an de Feeler gesäit aus wéi e gespaarte Port. Halt d'opgeléist Adressen nieft dem Profil, sou datt e spéidere Verglach eng Basis huet. Näischt dovun seet eppes doriwwer, wien déi aner Säit bedreift.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport an Identitéit si getrennte Froen

Eng oppe Websäit um Hostname testt een Nolauschterer op engem Port. OpenVPN, IPsec an SSTP lauschteren aneschtwous, op hiren eegenen Ports a Protokollen, also seet e erreechbare Webserver näischt iwwer si.

Den Dossier-Antrag an de Profil mussen iwwer Transport, Port a Referenzen eens ginn. D'Identitéit gëtt duerch d'Zertifikatskette oder de Fangerofdrock vum Géigeniwwer-Schlëssel verifizéiert, mat deem de Client konfiguréiert gouf, net duerch d'Schreifweis vum Host. En Numm mat engem bekannten Projetwuert beweist just, datt een en registréiert huet. Liest d'Zertifikat, dat de Service presentéiert, a vergläicht den Aussteller an de Sujet mat deem, wat de Profil erwaart.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Landwierder sinn keen Audit vun der Plaz

En Etikett wéi jp oder de an engem Dossier ass eng Registréierung, an IP-Geolokatiounsdatebanken sinn dacks genuch ënnerschiddlech, datt keng vun hinnen als absolut Wourecht behandelt soll ginn. Gedeelt Hosting, Anycast an eng einfach falsch Konfiguratioun verréckelen all déi observéiert Plaz vum Etikett ewech.

De prakteschen Test ass den eegene Wee vun der Applikatioun: wéi eng Adress se erreecht, a wat eng Ausgangsadress-Kontroll aus der Sessioun eraus weist. Eng observéiert Ausgangsadress ass eng Eegenschaft vun der Route an deem Abléck, keng Garantie, déi un den Numm gebonnen ass. Fräiwëlleg-Dossieren fügen eng weider Schicht derbäi, well dee, deen en Antrag registréiert huet, net onbedéngt dee muss sinn, deen d'Maschinn bedreift. Schreift op, wat Dir gemooss hutt a wéini, amplaz vun deem, wat den Antrag versprach huet.

Iwwerpréift de ugebuedene Service, duerno de Bedreiwer

Wann Transport an Identitéit gekläert sinn, ass déi reschtlech Fro d'Verhalen vum Bedreiwer, an dat brauch dokumentaresch Beweiser amplaz vun enger Ofleedung. Eng Dateschutzerklärung, e publizéierte Kontakt an eng Transparenznotiz sinn Beweiser fir d'Absicht; kee vun hinnen beweist d'Praxis, an d'Feele vun allen dräi ass och eng Informatioun.

Fir en ëffentlechen oder vun Fräiwëllege bedriwwenen Node, hëlt un, datt den Ausgang gedeelt ass an datt deen, deen en bedreift, gesäit, wat duerchgeet. Déi Usprooch, net den Hostname, soll decidéieren, wat Dir duerch den Tunnel schéckt.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Halt den Numm fir dat, wou en gutt ass: en Endpunkt fannen an sech mat him verbannen. Alles anescht muss separat getest ginn, den Dag wou et zielt.