Може ли платен VPN да авторизира сесии без твојата сметка?
Токени што не можат да се поврзат можат да ја одвојат проверката на правото од самата сесија. Важно е како се уредени издавањето и искористувањето, а не етикетата на екранот за најава.
Плаќањето за тунел не мора да значи покажување на платежниот идентитет при секое поврзување. Еден дизајн може еднаш да го провери правото, да му даде на клиентот криптографски токени и да му дозволи на порталот подоцна да прифати токен без да ја види сметката зад него. Дали тоа навистина нешто крие зависи од одлуките за издавање и искористување, затоа третирај го како вежба по спецификација со четири дела, а не како функција што ја вклучуваш.
Одвој го чекорот на купување од чекорот на сесија
Архитектурата Privacy Pass во RFC 9576 го дава речникот: клиент, потврдувач, издавач и извор. Клиентот му докажува некое својство на издавачот и добива токени; подоцна еден му го претставува на изворот, кој одлучува дали да го опслужи. Применето на VPN, потврденото својство може да биде една единица пристап.
Наплатата сè уште го гледа она што и е потребно на нејзиниот процес и никој не тврди спротивното. Потесна цел е подоцнежното искористување да не може да се поврзе со купувањето што го создало токенот. Тоа е конкретно својство што може да се тестира и токму тоа вреди да се запише.
Низата што изгледа случајно не го дава тоа. Ако издавачот ја чува вредноста покрај запис на клиент и порталот може да го побара тоа совпаѓање, двете интеракции се поврзани преку база на податоци, а не преку криптографија. Конструкцијата мора да го направи издавачот неспособен да одговори на тоа прашање, а распоредувањето мора да спречи издавачот и порталот да ги спојат своите погледи.
Одреди што авторизира еден токен
«Еден токен купува пристап» оперативно не одговара речиси ништо. Дали единицата е едно поврзување, временска квота или обем? Може ли клиент што го изгубил одговорот да го продолжи истото одобрение? Што се случува кога уредот повторно се поврзува при промена на мрежата? Овие одговори одлучуваат дали дизајнот е употреблив и секој од нив има последица за приватноста.
| Reuse rule | What it buys | What it leaks |
|---|---|---|
| Single use per connection | Strongest unlinkability between sessions | Frequent reissuance, more purchase-to-use timing pairs |
| Bounded time window | Fewer tokens, reconnects work | Activity inside the window is linkable |
| Long-lived grant | Operationally simple | Behaves like an account reference with extra steps |
Избери еден намерно и запиши го до него однесувањето при грешка. Клиент што по истекот на времето повторно се обидува со ново право троши уште една единица, што е истовремено изненадување на сметката и сигнал за приватноста.
Запиши ја политиката за повторна употреба и отповикување
Отповикувањето е местото каде анонимните дизајни обично го кршат сопственото ветување. Откажувањето на претплата и поништувањето веќе издадени токени се различни операции и портал што тивко прави пребарување на сметка за да одлучи во тој момент веќе не е анонимен.
Избери рок на важност, ограничување на издавање и приказна за отповикување што се вклопуваат. Потоа прегледај ги сопствените записи на порталот за полиња што ја враќаат врската што си ја отстранил.
sudo grep -rIl --include='*.log' -e 'Bearer ' -e 'account_id' /var/log/vpn/
Тоа пребарување ги наведува датотеките со дневник што содржат полиња за токени или сметки и тоа е првото место каде внимателен дизајн истекува во практика. Запис за сесија што ја чува вредноста на токенот покрај идентификатор на сметка ја уништува целата конструкција и обично доаѓа преку промена за отстранување грешки што никој не ја прегледал повторно.
Одреди и што чува порталот по завршувањето на сесијата. Времетраење, бајти и крајна точка се корисни за операции и секое од нив е дел од загатката што набљудувачот би сакал да ја има. Држи го периодот на чување краток и списокот на полиња краток, па прегледај ги двете кога промена за отстранување грешки ќе додаде колона. Никој не забележува ново поле во дневникот додека не помине година.
Формулирај го тврдењето, а потоа набљудувањата што остануваат
Напиши го тврдењето за приватност во една реченица со неговите претпоставки: која страна не смее да може да ги поврзе кои контексти и што се случува ако издавачот и порталот ги споредат белешките. Дизајн што ја преживува таа реченица е прегледлив; оној опишан само како «нулто знаење» не е.
Потоа наведи што останува видливо без оглед на сè. Изворните адреси, времињата на поврзување, големините на пакетите и едноставниот факт дека купувањето се случило малку пред да се појави единственото ново поврзување се сите надвор од криптографијата. Еден клиент што купува една единица и се поврзува еднаш е поврзлив само по времето и ниеден дизајн на токени тоа не го менува.
Искрениот резултат е потесна врска меѓу сметката и користењето, а не невидлива сесија. Сепак вреди да се гради, сè додека документацијата го кажува тоа и оперативните записи одговараат на тврдењето.