Jista’ l-operatur tal-VPN jara liema siti żżur?

Staqsi x'jista’ jara l-VPN u t-tweġiba tiddependi minn fejn inti fil-perkors. Fis-saff tas-sessjoni l-operatur għandu avvenimenti ta’ awtentikazzjoni u għadd ta’ bytes. Fis-saff tal-pakketti għandu indirizzi tad-destinazzjoni u ħin. Fis-saff DNS jista’ jkollu l-ismijiet stess. Kull saff iwieġeb mistoqsija differenti, u l-ebda swiċċ wieħed ma jċaqlaqek bejniethom.

Iddetermina s-saff qabel ma tagħmel xi talba

L-istess konnessjoni tipproduċi rekords differenti f'kull punt, u dikjarazzjoni dwar il-privatezza għandha sens biss meta ssemmi dak il-punt. Aqra t-tabella kolonna b'kolonna: x'jeżisti f'dak is-saff, x'jista’ jara l-operatur hemmhekk, u x'għadhom ma jistgħux jgħidu dawk l-istess rekords.

Li taqra saff wieħed bħala l-istampa sħiħa huwa l-bidu kemm tat-talbiet esaġerati kif ukoll tal-faraġ falz. Fornitur li jgħid li ma jirreġistrax il-browsing jista’ jkun preċiż dwar ir-reġistrazzjoni tal-URLs u xorta jżomm ir-rekords tas-sessjonijiet, u qbid tal-pakketti li juri biss indirizzi ma jsirx storja tal-browsing mingħajr tfittxijiet inversi u raden.

Meta tevalwa politika, sib is-sentenza li tiddeskrivi kull saff. Jekk il-politika ma tifridhomx, staqsi liema rekords jeżistu minflok ma taċċetta dikjarazzjoni ġenerali dwar l-encryption.

Inventarju tas-sessjonijiet: x'jżomm server OpenVPN standard

Bil-konfigurazzjoni standard, OpenVPN server ma jaqbadx it-traffiku. L-output normali huwa inventarju tas-sessjonijiet: liema kont awtentika, minn liema indirizz sors ġie, timbri tal-ħin tal-bidu u tat-tmiem, l-indirizz tat-tunnel mogħti u t-total tal-bytes fiż-żewġ direzzjonijiet. Dan huwa inventarju tas-sessjonijiet, mhux lista ta’ destinazzjonijiet.

L-għażliet tar-reġistrazzjoni jistgħu jżidu dettall. Livell ogħla ta’ verbosity jikteb aktar dwar il-handshake, u fajl tal-istat jista’ jelenka l-klijenti konnessi, imma l-ebda wieħed minnhom ma jbiddel is-server fi proxy trasparenti. Biex tipproduċi URLs jeħtieġ li ttemm it-TLS jew tmexxi proxy espliċitu, u t-tnejn ibiddlu l-arranġament tal-fiduċja minflok ma jixgħelu karatteristika moħbija.

Għalhekk il-verżjoni preċiża tat-talba li m'hemmx reġistru tal-browsing hija eqreb milli tidher. Is-server ma jafx il-paġna, imma jaf li kienet teżisti sessjoni u bejn wieħed u ieħor kemm data għaddiet minnha. Jekk dak ir-rekord tas-sessjoni jinżammx, u għal kemm, hija mistoqsija separata tal-politika.

Il-pakketti ta’ ġewwa u ta’ barra huma provi differenti

Il-qbid tal-pakketti huwa l-mod kif tara x'jgħaddi tassew mit-tunnel. Fuq is-server, semmi l-interface tat-tunnel u ikteb f'fajl li jista’ jiġi analizzat offline:

sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | head

Dak il-fajl fih traffiku intern deċifrat: l-indirizz tat-tunnel tal-klijent bħala sors, l-indirizz tad-destinazzjoni u l-port, id-daqsijiet tal-pakketti u l-ħin. Ma fihx il-perkors HTTP jew il-korp tar-risposta sakemm it-TLS ma jkunx tterminat x'imkien, u din hija data sensittiva li ż-żamma tagħha hija deċiżjoni tal-politika u mhux komodità tad-debugging.

Qbid fuq l-interface fiżika juri xi ħaġa oħra. Hemmhekk tara pakketti ta’ barra indirizzati lejn l-endpoint tal-VPN, b'payload encrypted ġewwa. Indirizzi mhux relatati li jidhru f'dak il-fajl huma normali ladarba jeżisti adapter virtwali, għax it-tagħmir tat-tunnel iġorr il-flussi ta’ ġewwa filwaqt li t-trasport encrypted iġorr dawk ta’ barra.

Staqsi liema mistoqsija għandu jwieġeb il-qbid. L-użu tat-tunnel minn applikazzjoni jidher fuq l-adapter virtwali; il-wasla tat-tunnel sal-endpoint tidher fuq dak fiżiku. L-użu ta’ wieħed mill-fajls bħala l-istampa sħiħa jagħti konklużjonijiet li d-data ma tappoġġjax.

DNS huwa l-post fejn l-ismijiet isiru viżibbli

DNS jibqa’ l-eċċezzjoni prattika. Ir-resolver jara l-ismijiet li jintalab isolvi, għalhekk min imexxih jitgħallem liema siti jfittex klijent anki meta l-konnessjonijiet ta’ wara jkunu encrypted. Il-qbid tat-tunnel juri indirizzi; ir-resolver juri ismijiet.

Iċċekkja b'liema indirizz ir-resolver wasal għal servizz estern. It-tweġiba hija l-indirizz tal-ħruġ tar-resolver, u t-tqabbil ma’ dak tal-ħruġ tal-VPN jgħidlek jekk il-query għaddietx mit-tunnel:

dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53

Jekk dak l-indirizz jaqbel mal-konnessjoni lokali u mhux mal-ħruġ tat-tunnel, it-tfittxija qabżet il-VPN u l-isem kien viżibbli fil-perkors lokali. Erġa’ agħmel il-verifika wara aġġornament tal-klijent, għax verżjoni ġdida tista’ tbiddel liema resolver jinstalla l-profil.

DNS encrypted iċaqlaq il-viżibilità minflok ma jneħħiha. In-netwerk ma jarax il-query aktar, imma r-resolver għadu jaraha, u l-mistoqsija tal-fiduċja sempliċement tbiddel idejn. L-isem tas-server TLS fil-handshake tal-konnessjoni huwa sinjal parzjali ieħor: spiss jibqa’ anki meta l-payload ikun opak, għalhekk l-indirizzi tad-destinazzjoni mhumiex l-unika metadata li server tal-forwarding jista’ josserva.

Tliet tipi ta’ rekords u min jista’ jaqrahom

Il-kontabilità tas-sessjonijiet, ir-rekords skont l-isem u l-provi tat-tnixxija huma tliet prodotti differenti bi tliet obbligi differenti. Ir-reġistri tas-sessjonijiet huma rħas u b'sensittività baxxa, u jwieġbu min ikkonnetta u meta. Ir-rekords skont l-isem jeħtieġu resolver li jirreġistra jew proxy espliċitu, u joħolqu obbligu ta’ żvelar lejn il-persuni milquta. Il-prova tat-tnixxija hija test fuq in-naħa tal-klijent li tqabbel dak li jiżvela r-resolver mal-ħruġ tat-tunnel.

Ikteb liema minn dawn it-tlieta tmexxi, min jista’ jaqrah u kemm idum. Id-dikjarazzjonijiet li servizz ma jżommx reġistri jiddeskrivu saff wieħed, u jibqgħu veri biss f'dak l-ambitu. L-istess fornitur jista’ jkun preċiż dwar is-sessjonijiet u żbaljat dwar id-DNS.

Żomm it-test riproduċibbli: l-istess query lir-resolver, l-istess interface tal-qbid u l-istess tqabbil. Talba dwar il-privatezza li ma tistax tiġi ttestjata f'saff imsemmi hija slogan, mhux fatt operattiv.