Hva ruterlogger viser når VPN-nyttelasten er kryptert

Kryptering avgjør om innholdet i en pakke kan leses, og sier ingenting om hvorvidt pakkens eksistens, størrelse og tidspunkt blir skrevet ned. En ruter som videresender en kryptert tunnel, ser en strøm den må levere, og den kan telle, tidsstemple og tilordne den strømmen. Sammenlign hva en hjemmegateway registrerer med hva et nettverk lenger oppe registrerer, og forskjellen viser seg å handle om hvilke felt hver av dem har grunn til å beholde.

Den sammenligningen er den nyttige, fordi de to registreringene stadig blandes sammen i personverndebatter. De svarer på ulike spørsmål og oppbevares i ulike perioder.

To observatører, to ulike registreringer

Gatewayen ved din kant vet hvilket lokalt grensesnitt strømmen brukte, og når den selv deler ut adresser, hvilken enhet som hadde den adressen på det tidspunktet. Den kan også se hvilken oppløser du spurte, og hvilket endepunkt du kontaktet. Lenger oppe ankommer den samme trafikken oversatt, så et annet nettverk ser én offentlig adresse som hele husstanden deler, som er funksjonen beskrevet i RFC 3022. Ingen av observatørene leste nyttelasten, og ingen av registreringene inneholder den andre.

Byttetotaler hører også til denne kategorien. En volumbasert teller registrerer at trafikk passerte, uten å registrere hva det var.

Hvilke felt etterlater faktisk et spor

Hva en gitt enhet lagrer, avhenger av hva som er aktivert, så enhver universell påstand fortjener mistanke. Tabellen viser feltene som betyr noe i praksis, og hva hvert av dem innebærer.

Les tabellen rad for rad i stedet for kolonne for kolonne, fordi hver rad støtter en annen konklusjon. Endepunktadressen viser at det finnes en tunnel, ikke hva den transporterte. Lokal enhetstilordning er raden som binder en strøm til en person, og det er raden en hjemmegateway beholder, mens en observatør lenger oppe vanligvis ikke gjør det.

Nyttelastraden er den samme i begge kolonnene, og det er den delen krypteringen faktisk garanterer. Alt annet avhenger av loggvalg.

En ruter som avslutter tunnelen, ser mer

En gateway som videresender andres krypterte trafikk, og en ruter som selv kjører tunnelen, inntar ulike posisjoner. Den andre holder tunnelstatus og nøklene til den, og kan derfor se indre adresser og destinasjonene inne i tunnelen. Hvis den ruteren også oversetter adresser for det indre nettverket, kan loggene knytte en enhet til en indre destinasjon i én registrering. Det er en annen avsløring enn den ytre strømmen, produsert av samme boks.

Sammenlign det med en laptopklient bak en vanlig gateway: gatewayen registrerer den ytre strømmen, og klientens egen logg beholder den indre detaljen. Å spørre hvem som har hvilken halvdel av bildet, er mer produktivt enn å spørre om nettverket kan se gjennom krypteringen. Det ærlige svaret på det andre spørsmålet er nei, og det er heller ikke spørsmålet som avgjør eksponeringen din.

Sjekk hva din egen enhet registrerer

Se på ditt eget utstyr før du resonnerer om andres. Kommandoene nedenfor viser brannmurregler med tellere, fortsatt levende tilkoblingsoppføringer og logglinjer som nevner en tilkobling. De gjelder for en Linux-basert ruter, som mesteparten av forbruker-fastvaren stammer fra.

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

Et regelsett med tellere forteller deg hva enheten er villig til å telle, og tilkoblingstabellen viser levende strømmer i stedet for historikk. Logglinjer bekrefter om fastvaren i det hele tatt skriver tilkoblingshendelser, og det avgjør det meste av diskusjonen. Tomt utdata på alle fire kommandoene betyr at boksen videresender uten å registrere, og det er også et svar. Gjenta sjekken på klienten, fordi loggen dens beholder den andre halvdelen av bildet.

Noter de aktiverte funksjonene og oppbevaringsinnstillingen ved siden av utdataene. Den samme maskinvaren kan være stille i dag og snakkesalig etter en fastvareoppdatering som slår på telemetri.