Kaip atskirti VPN protokolo palaikymą nuo pasitikėjimo operatoriumi

Atidaryti du teikėjų skirtukai, abu reklamuoja WireGuard, o palyginimas įstrigo ties vienu sakiniu: tunelis stiprus, tad paslauga turi būti gera. Tai klaidinga išvada. Protokolas apibrėžia, kaip du partneriai šifruoja ir autentifikuoja, bet nieko nesako apie tai, kas valdo galinį tašką, ką saugo paskyros sistema ar kaip įmonė atsako į teisinį prašymą. Šiuos klausimus reikia atskirti prieš tai, kai ženklelis į juos atsakys už jus.

Ką protokolo etiketė gali ir ko negali patvirtinti

WireGuard nustato „Noise“ pagrindu sukurtą rankos paspaudimą, fiksuotą šiuolaikinių primityvų rinkinį ir maršrutizavimo modelį, kuriame AllowedIPs nusprendžia, kas patenka į tunelį. Tai tikros garantijos dėl pranešimų formatų ir raktų mainų, ir verta jas turėti. Jos taip pat yra garantijos dėl kodo, o ne dėl mašinos, kurioje tas kodas veikia.

Įgyvendinimas vis dėlto palieka pasirinkimus. Teikėjas gali įkelti branduolio modulį arba pateikti vartotojo erdvės rinkinį, nukreipti DNS per tunelį arba palikti jį vietiniam sprendėjui, ir keisti raktus pagal savo grafiką. Nė vienas iš šių pasirinkimų neatsispindi protokolo etiketėje, ir kiekvienas jų keičia, ką paslauga gali stebėti.

OpenVPN padeda lengviau pamatyti šį atotrūkį. Jo TLS rankos paspaudimas ir sertifikatų modelis gali būti sukonfigūruotas gerai arba blogai, su tls-auth arba be jo, su šiuolaikiniais šifrais arba suderinamumo atsarginiu variantu. Dvi paslaugos gali abi sakyti OpenVPN ir baigti labai skirtingu poveikiu. WireGuard protokolo puslapis yra tikslus kriptografijos atžvilgiu ir tylus apie operatorių, ir būtent tai yra ta riba, kurią verta atsiminti.

Į ką gali atsakyti tik operatorius

Pradėkite nuo nuosavybės. Ar galinis taškas yra įrangoje, kurią kontroliuoja teikėjas, nuomojamame VPS, ar savanorio mašinoje kažkieno bute? Atsakymas nusprendžia, kas gali nukopijuoti diską, kas lopija branduolį ir kas pastebi keistą prisijungimą. Protokolų palyginimas nieko iš to nepasiekia.

Toliau eina paskyros ir mokėjimų įrašai. El. pašto adresas, atnaujinimo laiko žyma, kortelės piršto atspaudas ir pagalbos bilietas visi gyvena už tunelio ribų. Taip pat ir sprendėjas: jei teikėjas valdo savo DNS, jis mato vardus net tada, kai puslapiai yra HTTPS. Klauskite saugojimo trukmės dienomis, o ne žodžio „minimalus“.

Sudėliokite atsakymus į du stulpelius, nes jie turi skirtingą svorį. Vienas stulpelis apibūdina programinę įrangą; kitas yra pažadas, kurį paslauga turi ištesėti.

Pažadus galima patikrinti tik pagal dokumentus. Teikėjas, kuris negali įvardyti savo saugojimo laikotarpio, neatskleidžia protokolo trūkumo; jis parodo jums savo įrašų kokybę, ir būtent tai bandėte įvertinti.

Patikrinkite profilį, kurį klientas iš tikrųjų taiko

Klientas yra vieta, kur abstraktus profilis virsta maršrutais. Linux su wg-quick nulupusi konfigūracija parodo tiksliai, kas bus pritaikyta, įskaitant DNS ir AllowedIPs eilutes, kurias GUI gali paslėpti už jungiklio.

sudo wg-quick strip wg0
sudo wg show wg0 latest-handshakes
resolvectl status wg0

Skaitykite išvestį kaip tris atskirus faktus. AllowedIPs, lygus 0.0.0.0/0, reiškia, kad visas numatytasis maršrutas patenka į tunelį; DNS eilutė reiškia, kad vardai eina į sprendėją, kurį nurodo profilis; nesenas rankos paspaudimas reiškia, kad sesija gyva. Nuolatinis keepalive sako, kad klientas laiko atvirą NAT susiejimą, o tai yra elgesio pasirinkimas, ne saugumo įvertinimas.

Viena išlyga čia svarbi. Šios komandos tikrina tunelį, kurį turite, o ne politiką, kuri yra už jo. Tobulas rankos paspaudimas įrodo, kad kriptografija veikia; jis neįrodo, kad praėjusio mėnesio ryšio įrašai buvo ištrinti, nes tas įvykis nepalieka jokio pėdsako jūsų mašinoje.

Įrodymai, kurie išgyvena rinkodaros puslapį

Paprašykite nepriklausomos audito ataskaitos ir perskaitykite jos apimtį prieš logotipą. Ataskaitos įvardija infrastruktūrą, laikotarpį ir išimtis; daugelis apima VPN serverius, bet palieka paskyros portalą, atsiskaitymus ir pagalbos įrankius už apžvalgos ribų. Auditas, kuris neįtraukia sistemų, laikančių jūsų el. pašto adresą, atsako į siauresnį klausimą, nei užsimenama pardavimo puslapyje.

Tada skaitykite privatumo politiką dėl kategorijų, o ne būdvardžių. Naudinga politika įvardija, kas renkama, kodėl ir kiek laiko, ir atskiria ryšio metaduomenis nuo paskyros duomenų. Skaidrumo ataskaita, jei tokia yra, parodo, ar teikėjas apskritai turi prašymų procesą, nors jos skaičiai yra tokie geri, kokie yra juos skelbiančios institucijos.

Atvirasis kodas padeda kliento lygmenyje ir ten sustoja. Skaitomas klientas įrodo, ką siunčia jūsų įrenginys; jis neįrodo, ką saugo serveris. Pakartojami rinkiniai susiaurina atotrūkį tarp paskelbto ir pristatyto kodo, bet jie vis dar apibūdina programinę įrangą, o ne operacijas.

Trumpas trijų dokumentų testas atfiltruoja daugumą teiginių: politika su įvardytomis kategorijomis ir saugojimu, aktualus auditas su nurodyta apimtimi ir raštiškas pagalbos atsakymas apie vieną konkretų scenarijų. Jei trūksta bet kurio iš trijų, laikykite tą konkretų teiginį nepatvirtintu, o ne klaidingu.

Kur praktiškai yra riba

Kai galinis taškas yra savanorio, vertinkite atskirą prieglobos serverį. Programinės įrangos projekto reputacija neperkeliama kiekvienai mašinai, kuri jį vykdo, o tą mašiną valdantis asmuo gali visai neturėti ryšio su projektu. Komerciniai tinklai atsakomybę organizuoja kitaip, bet vis tiek sutelkia ją viename subjekte.

Savarankiškas prieglobstis apverčia klausimą. Jūs tampate operatoriumi, todėl protokolo palaikymas išspręstas, o pasitikėjimas tampa jūsų pačių lopymu, raktų tvarkymu ir žurnalų saugojimu. Tai teisėtas atsakymas kai kuriems skaitytojams, o ne apėjimas.

Mokamai paslaugai sutartis ir jurisdikcija yra produkto dalis. Nuosavybės pokyčiai, įsigijimai ir vietinės atskleidimo taisyklės gali pakeisti operatoriaus įsipareigojimus neliesdami protokolo, todėl palyginimas, kuris sustoja ties specifikacijos lapu, pasensta.

Užsirašykite tris faktus, kurių negalėjote patikrinti svetainėje. Nusiųskite juos pagalbai ir išsaugokite atsakymą. Konkretus atsakymas perkelia paslaugą į kitą kategoriją, o tyla taip pat yra atsakymas, kuris priklauso jūsų palyginimui.