നിങ്ങൾ ഏത് സൈറ്റുകൾ സന്ദർശിക്കുന്നു എന്ന് VPN ഓപ്പറേറ്റർക്ക് കാണാനാകുമോ?
സ്വതേയുള്ള OpenVPN സെർവർ സെഷനുകൾ രേഖപ്പെടുത്തുന്നു, URL-കളല്ല. ഓപ്പറേറ്റർ എന്ത് കാണുന്നു എന്ന് പറയുന്നതിന് മുമ്പ് കണക്ഷൻ ലോഗുകൾ, ടണൽ ക്യാപ്ചർ, DNS ചോർച്ച പരിശോധന എന്നിവ താരതമ്യം ചെയ്യുക.
VPN എന്ത് കാണാനാകും എന്ന് ചോദിച്ചാൽ ഉത്തരം നിങ്ങൾ വഴിയിൽ എവിടെ നിൽക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. സെഷൻ പാളിയിൽ ഓപ്പറേറ്റർക്ക് പ്രാമാണീകരണ സംഭവങ്ങളും ബൈറ്റ് കണക്കുകളും ഉണ്ട്. പാക്കറ്റ് പാളിയിൽ ലക്ഷ്യവിലാസങ്ങളും സമയവുമുണ്ട്. DNS പാളിയിൽ പേരുകൾ തന്നെ ഉണ്ടായേക്കാം. ഓരോ പാളിയും വേറെ ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു, ഒരു സ്വിച്ചും നിങ്ങളെ അവയ്ക്കിടയിൽ കൊണ്ടുപോകുന്നില്ല.
അവകാശവാദം ഉന്നയിക്കുന്നതിന് മുമ്പ് പാളി നിർണ്ണയിക്കുക
ഒരേ കണക്ഷൻ ഓരോ ബിന്ദുവിലും വ്യത്യസ്ത രേഖകൾ സൃഷ്ടിക്കുന്നു, സ്വകാര്യതയെക്കുറിച്ചുള്ള പ്രസ്താവന ആ ബിന്ദുവിനെ പേരെടുത്ത് പറയുമ്പോഴേ അർത്ഥവത്താകൂ. പട്ടിക നിരനിരയായി വായിക്കുക: ആ പാളിയിൽ എന്തുണ്ട്, അവിടെ ഓപ്പറേറ്റർക്ക് എന്ത് കാണാം, അതേ രേഖകൾക്ക് ഇപ്പോഴും എന്ത് പറയാനാകില്ല.
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
ഒരു പാളിയെ മുഴുവൻ ചിത്രമായി വായിക്കുന്നതാണ് അതിശയോക്തിയുടെയും വ്യാജമായ ആശ്വാസത്തിന്റെയും തുടക്കം. ബ്രൗസിംഗ് രേഖപ്പെടുത്തുന്നില്ല എന്ന് പറയുന്ന ദാതാവ് URL രേഖപ്പെടുത്തലിൽ കൃത്യമായിരിക്കാം, എന്നാൽ സെഷൻ രേഖകൾ സൂക്ഷിച്ചേക്കാം; വിലാസങ്ങൾ മാത്രം കാണിക്കുന്ന പാക്കറ്റ് ക്യാപ്ചർ, വിപരീത അന്വേഷണങ്ങളും ഊഹങ്ങളുമില്ലാതെ ബ്രൗസിംഗ് ചരിത്രമാകുന്നില്ല.
ഒരു നയം വിലയിരുത്തുമ്പോൾ ഓരോ പാളിയെയും വിവരിക്കുന്ന വാക്യം കണ്ടെത്തുക. നയം അവയെ വേർതിരിക്കുന്നില്ലെങ്കിൽ, എൻക്രിപ്ഷനെക്കുറിച്ചുള്ള പൊതു പ്രസ്താവന സ്വീകരിക്കുന്നതിന് പകരം ഏതെല്ലാം രേഖകൾ നിലവിലുണ്ടെന്ന് ചോദിക്കുക.
സെഷൻ ഇൻവെന്ററി: സാധാരണ OpenVPN സെർവർ എന്ത് സൂക്ഷിക്കുന്നു
സ്വതേ OpenVPN സെർവർ ട്രാഫിക് പകർത്തുന്നില്ല. സാധാരണ ഔട്ട്പുട്ട് ഒരു സെഷൻ ഇൻവെന്ററിയാണ്: ഏത് അക്കൗണ്ട് പ്രാമാണീകരിച്ചു, ഏത് ഉറവിട വിലാസത്തിൽ നിന്ന് വന്നു, തുടക്കത്തിന്റെയും അവസാനത്തിന്റെയും സമയ മുദ്രകൾ, നൽകിയ ടണൽ വിലാസം, ഇരു ദിശകളിലെയും ആകെ ബൈറ്റുകൾ. അത് സെഷനുകളുടെ ഇൻവെന്ററിയാണ്, ലക്ഷ്യസ്ഥാനങ്ങളുടെ പട്ടികയല്ല.
ലോഗിംഗ് ഓപ്ഷനുകൾക്ക് വിശദാംശങ്ങൾ ചേർക്കാം. ഉയർന്ന വെർബോസിറ്റി നില ഹാൻഡ്ഷേക്കിനെക്കുറിച്ച് കൂടുതൽ എഴുതുന്നു, സ്റ്റാറ്റസ് ഫയലിന് ബന്ധിപ്പിച്ച ക്ലയന്റുകൾ പട്ടികപ്പെടുത്താം, പക്ഷേ രണ്ടും സെർവറിനെ സുതാര്യ പ്രോക്സിയാക്കുന്നില്ല. URL-കൾ ഉണ്ടാക്കാൻ TLS അവസാനിപ്പിക്കുകയോ വ്യക്തമായ പ്രോക്സി പ്രവർത്തിപ്പിക്കുകയോ വേണം, രണ്ടും മറഞ്ഞ ഒരു സവിശേഷത തുറക്കുന്നതിന് പകരം വിശ്വാസ ക്രമം മാറ്റുന്നു.
അതുകൊണ്ടാണ് ബ്രൗസിംഗ് ലോഗ് ഇല്ല എന്ന അവകാശവാദത്തിന്റെ കൃത്യമായ പതിപ്പ് കേൾക്കുന്നതിലും ഇടുങ്ങിയതാകുന്നത്. സെർവറിന് പേജ് അറിയില്ല, പക്ഷേ ഒരു സെഷൻ ഉണ്ടായിരുന്നു എന്നും അതിലൂടെ ഏകദേശം എത്ര ഡാറ്റ കടന്നുപോയി എന്നും അറിയാം. ആ സെഷൻ രേഖ സൂക്ഷിക്കുന്നുണ്ടോ, എത്ര കാലം എന്നത് വേറെ നയപ്രശ്നമാണ്.
ആന്തരികവും ബാഹ്യവുമായ പാക്കറ്റുകൾ വ്യത്യസ്ത തെളിവുകളാണ്
പാക്കറ്റ് ക്യാപ്ചർ എന്നത് ടണലിലൂടെ യഥാർത്ഥത്തിൽ എന്ത് കടന്നുപോകുന്നു എന്ന് കാണാനുള്ള വഴിയാണ്. സെർവറിൽ ടണൽ ഇന്റർഫേസ് പേരെടുത്ത് പറഞ്ഞ് ഓഫ്ലൈനായി വിശകലനം ചെയ്യാവുന്ന ഫയലിലേക്ക് എഴുതുക:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headആ ഫയലിൽ ഡീക്രിപ്റ്റ് ചെയ്ത ആന്തരിക ട്രാഫിക് ഉണ്ട്: ഉറവിടമായി ക്ലയന്റിന്റെ ടണൽ വിലാസം, ലക്ഷ്യ വിലാസവും പോർട്ടും, പാക്കറ്റ് വലുപ്പങ്ങളും സമയവും. എവിടെയെങ്കിലും TLS അവസാനിപ്പിച്ചിട്ടില്ലെങ്കിൽ അതിൽ HTTP പാതയോ പ്രതികരണ ബോഡിയോ ഇല്ല, ഇത് സംവേദനക്ഷമമായ ഡാറ്റയാണ്; അത് സൂക്ഷിക്കുന്നത് ഡീബഗ്ഗിംഗ് സൗകര്യമല്ല, നയ തീരുമാനമാണ്.
ഭൗതിക ഇന്റർഫേസിലെ ക്യാപ്ചർ മറ്റൊന്ന് കാണിക്കുന്നു. അവിടെ VPN എൻഡ്പോയിന്റിലേക്ക് അയച്ച ബാഹ്യ പാക്കറ്റുകൾ കാണാം, ഉള്ളിൽ എൻക്രിപ്റ്റ് ചെയ്ത പേലോഡുണ്ട്. വെർച്വൽ അഡാപ്റ്റർ ഉള്ളപ്പോൾ ആ ഫയലിൽ ബന്ധമില്ലാത്ത വിലാസങ്ങൾ കാണുന്നത് സാധാരണമാണ്, കാരണം ടണൽ ഉപകരണം ആന്തരിക പ്രവാഹങ്ങൾ വഹിക്കുന്നു, എൻക്രിപ്റ്റ് ചെയ്ത കൈമാറ്റം ബാഹ്യമായവ വഹിക്കുന്നു.
ക്യാപ്ചർ ഏത് ചോദ്യത്തിന് ഉത്തരം നൽകണം എന്ന് ചോദിക്കുക. ഒരു ആപ്പ്ലിക്കേഷന്റെ ടണൽ ഉപയോഗം വെർച്വൽ അഡാപ്റ്ററിൽ കാണാം; എൻഡ്പോയിന്റിലേക്കുള്ള ടണലിന്റെ എത്തിച്ചേരൽ ഭൗതിക അഡാപ്റ്ററിൽ കാണാം. ഏതെങ്കിലും ഒരു ഫയലിനെ മുഴുവൻ ചിത്രമായി ഉപയോഗിക്കുന്നത് ഡാറ്റ പിന്തുണയ്ക്കാത്ത നിഗമനങ്ങൾ നൽകുന്നു.
DNS ആണ് പേരുകൾ ദൃശ്യമാകുന്ന സ്ഥലം
DNS പ്രായോഗികമായ അപവാദമായി തുടരുന്നു. റിസോൾവർ തന്നോട് പരിഹരിക്കാൻ ആവശ്യപ്പെട്ട പേരുകൾ കാണുന്നു, അതിനാൽ അത് പ്രവർത്തിപ്പിക്കുന്നവർ പിന്നീടുള്ള കണക്ഷനുകൾ എൻക്രിപ്റ്റ് ചെയ്തതാണെങ്കിലും ക്ലയന്റ് ഏത് സൈറ്റുകൾ തിരയുന്നു എന്ന് അറിയുന്നു. ടണൽ ക്യാപ്ചർ വിലാസങ്ങൾ കാണിക്കുന്നു; റിസോൾവർ പേരുകൾ കാണിക്കുന്നു.
റിസോൾവർ ബാഹ്യ സേവനത്തിൽ എത്താൻ ഏത് വിലാസം ഉപയോഗിച്ചു എന്ന് പരിശോധിക്കുക. ഉത്തരം റിസോൾവറിന്റെ എഗ്രസ് വിലാസമാണ്, അതിനെ VPN എക്സിറ്റുമായി താരതമ്യം ചെയ്താൽ ക്വറി ടണലിലൂടെ പോയോ എന്ന് അറിയാം:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53ആ വിലാസം ടണൽ എക്സിറ്റിന് പകരം പ്രാദേശിക കണക്ഷനുമായി ഒത്തുപോകുന്നുവെങ്കിൽ, അന്വേഷണം VPN ഒഴിവാക്കി പോയി, പേര് പ്രാദേശിക പാതയിൽ ദൃശ്യമായിരുന്നു. ക്ലയന്റ് അപ്ഡേറ്റിന് ശേഷം പരിശോധന ആവർത്തിക്കുക, കാരണം പുതിയ പതിപ്പ് പ്രൊഫൈൽ ഏത് റിസോൾവർ ഇൻസ്റ്റാൾ ചെയ്യുന്നു എന്നത് മാറ്റിയേക്കാം.
എൻക്രിപ്റ്റ് ചെയ്ത DNS ദൃശ്യത ഒഴിവാക്കുന്നതിന് പകരം സ്ഥലം മാറ്റുന്നു. നെറ്റ്വർക്ക് ഇനി ക്വറി കാണുന്നില്ല, പക്ഷേ റിസോൾവർ ഇപ്പോഴും കാണുന്നു, വിശ്വാസത്തിന്റെ ചോദ്യം കൈ മാറുക മാത്രം ചെയ്യുന്നു. കണക്ഷന്റെ ഹാൻഡ്ഷേക്കിലെ TLS സെർവർ പേര് മറ്റൊരു ഭാഗിക സൂചനയാണ്: പേലോഡ് അതാര്യമായിരിക്കുമ്പോഴും അത് പലപ്പോഴും അവശേഷിക്കുന്നു, അതിനാൽ ലക്ഷ്യ വിലാസങ്ങൾ മാത്രമല്ല ഫോർവേഡിംഗ് സെർവറിന് നിരീക്ഷിക്കാവുന്ന മെറ്റാഡാറ്റ.
മൂന്ന് തരം രേഖകളും അവ വായിക്കാനാകുന്നവരും
സെഷൻ അക്കൗണ്ടിംഗ്, പേരനുസരിച്ചുള്ള രേഖകൾ, ചോർച്ച തെളിവുകൾ എന്നിവ മൂന്ന് വ്യത്യസ്ത ബാധ്യതകളുള്ള മൂന്ന് വ്യത്യസ്ത ഉൽപ്പന്നങ്ങളാണ്. സെഷൻ ലോഗുകൾ വിലകുറഞ്ഞതും കുറഞ്ഞ സംവേദനക്ഷമതയുള്ളതുമാണ്, ആരു എപ്പോൾ ബന്ധിപ്പിച്ചു എന്നതിന് ഉത്തരം നൽകുന്നു. പേരനുസരിച്ചുള്ള രേഖകൾക്ക് രേഖപ്പെടുത്തുന്ന റിസോൾവറോ വ്യക്തമായ പ്രോക്സിയോ വേണം, അവ ബാധിക്കപ്പെട്ട ആളുകളോട് വെളിപ്പെടുത്താനുള്ള ബാധ്യത സൃഷ്ടിക്കുന്നു. ചോർച്ച തെളിവ് എന്നത് റിസോൾവർ വെളിപ്പെടുത്തുന്നതിനെ ടണൽ എക്സിറ്റുമായി താരതമ്യം ചെയ്യുന്ന ക്ലയന്റ് വശത്തെ പരിശോധനയാണ്.
ഈ മൂന്നിൽ ഏതാണ് നിങ്ങൾ പ്രവർത്തിപ്പിക്കുന്നത്, ആർക്ക് വായിക്കാം, എത്ര കാലം നിലനിൽക്കും എന്ന് രേഖപ്പെടുത്തുക. സേവനം ലോഗുകൾ സൂക്ഷിക്കുന്നില്ല എന്ന പ്രസ്താവനകൾ ഒരു പാളിയെ വിവരിക്കുന്നു, ആ പരിധിയിൽ മാത്രം ശരിയായി നിലനിൽക്കുന്നു. ഒരേ ദാതാവ് സെഷനുകളിൽ കൃത്യവും DNS-ൽ തെറ്റുമായിരിക്കാം.
പരിശോധന പുനരുൽപ്പാദിപ്പിക്കാവുന്നതായി സൂക്ഷിക്കുക: അതേ റിസോൾവർ ക്വറി, അതേ ക്യാപ്ചർ ഇന്റർഫേസ്, അതേ താരതമ്യം. പേരെടുത്ത് പറഞ്ഞ പാളിയിൽ പരിശോധിക്കാനാകാത്ത സ്വകാര്യതാ അവകാശവാദം മുദ്രാവാക്യമാണ്, പ്രവർത്തന വസ്തുതയല്ല.