VPN अपरेटरले तपाईंले हेर्ने साइटहरू देख्न सक्छ?
पूर्वनिर्धारित OpenVPN सर्भरले सत्रहरू रेकर्ड गर्छ, URL होइन। अपरेटरले के देख्छ भन्नुअघि जडान लग, टनेल क्याप्चर र DNS चुहावट जाँच तुलना गर्नुहोस्।
VPN ले के देख्न सक्छ भनी सोध्नुहोस्, उत्तर तपाईं बाटोमा कहाँ उभिनुभएको छ मा निर्भर गर्छ। सत्र तहमा अपरेटरसँग प्रमाणीकरण घटना र बाइट गणना हुन्छ। प्याकेट तहमा गन्तव्य ठेगाना र समय हुन्छ। DNS तहमा नामहरू नै हुन सक्छन्। हरेक तहले फरक प्रश्नको जवाफ दिन्छ, र कुनै एउटै स्विचले तपाईंलाई तिनीहरूबीच सार्दैन।
दाबी गर्नुअघि तह निर्धारण गर्नुहोस्
एउटै जडानले हरेक बिन्दुमा फरक अभिलेख बनाउँछ, र गोपनीयताबारेको भनाइले त्यो बिन्दु नाम दिएको खण्डमा मात्र अर्थ राख्छ। तालिका स्तम्भ-दर-स्तम्भ पढ्नुहोस्: त्यो तहमा के छ, त्यहाँ अपरेटरले के देख्न सक्छ, र ती अभिलेखहरूले अझै के भन्न सक्दैनन्।
| Layer | Visible there | Not visible there |
|---|---|---|
| Session and authentication | Account, client address, start and stop times, assigned address, byte counts | URLs, page content, search terms |
| Forwarded packets | Destination address and port, sizes, timing, often the TLS server name | HTTP path, headers, response body |
| DNS resolver | Queried names and the client that asked | Page content and later requests |
| TLS-terminating proxy | Full request line, headers and body | Nothing, by design |
एउटा तहलाई पूरै चित्र मानेर पढ्नु नै अतिदाबी र झुटो ढुक्क दुवैको सुरुवात हो। ब्राउजिङ रेकर्ड नगर्ने भन्ने प्रदायक URL रेकर्डिङमा सही हुन सक्छ तैपनि सत्र अभिलेख राख्न सक्छ, र केवल ठेगाना देखाउने प्याकेट क्याप्चर उल्टो खोजी र अनुमानबिना ब्राउजिङ इतिहास बन्दैन।
नीति मूल्याङ्कन गर्दा हरेक तहको वर्णन गर्ने वाक्य खोज्नुहोस्। नीतिले तिनलाई अलग नगर्दा इन्क्रिप्शनबारे सामान्य भनाइ स्वीकार्नुको सट्टा कुन अभिलेख छन् भनी सोध्नुहोस्।
सत्र सूची: सामान्य OpenVPN सर्भरले के राख्छ
पूर्वनिर्धारित रूपमा OpenVPN सर्भरले ट्राफिक क्याप्चर गर्दैन। सामान्य आउटपुट सत्र सूची हो: कुन खाताले प्रमाणीकरण गर्यो, कुन स्रोत ठेगानाबाट आयो, सुरु र अन्त्यको समय छाप, दिइएको टनेल ठेगाना र दुवै दिशाको कुल बाइट। त्यो सत्रहरूको सूची हो, गन्तव्यहरूको सूची होइन।
लगिङ विकल्पले विस्तृत विवरण थप्न सक्छ। बढी भर्बोसिटी तहले ह्यान्डशेकबारे बढी लेख्छ, र स्थिति फाइलले जोडिएका क्लाइन्ट सूचीबद्ध गर्न सक्छ, तर कुनैले पनि सर्भरलाई पारदर्शी प्रोक्सी बनाउँदैन। URL उत्पादन गर्न TLS अन्त्य गर्नुपर्छ वा स्पष्ट प्रोक्सी चलाउनुपर्छ, र दुवैले लुकेको सुविधा खोल्नुको सट्टा विश्वासको संरचना बदल्छन्।
त्यसैले ब्राउजिङ लग छैन भन्ने दाबीको सही संस्करण सुन्दा लाग्नेभन्दा साँघुरो छ। सर्भरलाई पृष्ठ थाहा छैन, तर सत्र थियो र त्यसबाट लगभग कति डेटा गयो भन्ने थाहा छ। त्यो सत्र अभिलेख राखिन्छ कि र कति समय, त्यो छुट्टै नीतिको प्रश्न हो।
भित्री र बाहिरी प्याकेट फरक प्रमाण हुन्
प्याकेट क्याप्चर भनेको टनेलबाट वास्तवमा के जान्छ देख्ने उपाय हो। सर्भरमा टनेल इन्टरफेस नाम दिनुहोस् र पछि अफलाइन विश्लेषण गर्न सकिने फाइलमा लेख्नुहोस्:
sudo tcpdump -ni tun0 -w /tmp/tun.pcap
sudo tcpdump -r /tmp/tun.pcap -nn | headत्यो फाइलमा डिक्रिप्ट गरिएको भित्री ट्राफिक हुन्छ: स्रोतका रूपमा क्लाइन्टको टनेल ठेगाना, गन्तव्य ठेगाना र पोर्ट, प्याकेटको आकार र समय। कतै TLS अन्त्य नगरिएको खण्डमा त्यसमा HTTP मार्ग वा प्रतिक्रिया शरीर हुँदैन, र यो संवेदनशील डेटा हो; यसलाई राख्नु डिबग सुविधा होइन, नीतिको निर्णय हो।
भौतिक इन्टरफेसमा गरिएको क्याप्चरले अरू केही देखाउँछ। त्यहाँ VPN इन्डपोइन्टतर्फ पठाइएका बाहिरी प्याकेट देखिन्छन्, भित्र इन्क्रिप्ट गरिएको पेलोड हुन्छ। भर्चुअल एडाप्टर भएपछि त्यो फाइलमा असम्बन्धित ठेगाना देखिनु सामान्य हो, किनभने टनेल यन्त्रले भित्री प्रवाह बोक्छ र इन्क्रिप्ट गरिएको यातायातले बाहिरी प्रवाह बोक्छ।
क्याप्चरले कुन प्रश्नको जवाफ दिनुपर्छ भनी सोध्नुहोस्। कुनै एप्लिकेसनको टनेल प्रयोग भर्चुअल एडाप्टरमा देखिन्छ; इन्डपोइन्टसम्म टनेलको पहुँच भौतिक एडाप्टरमा देखिन्छ। कुनै एउटा फाइललाई पूरै चित्र मानेर प्रयोग गर्दा डेटाले समर्थन नगर्ने निष्कर्ष निस्कन्छ।
DNS त्यो ठाउँ हो जहाँ नामहरू देखिन थाल्छन्
DNS व्यावहारिक अपवाद रहन्छ। रिजोल्भरले आफूलाई हल गर्न भनिएका नाम देख्छ, त्यसैले यसलाई चलाउनेले पछिका जडान इन्क्रिप्ट भए पनि क्लाइन्टले कुन साइट खोज्छ भन्ने थाहा पाउँछ। टनेल क्याप्चरले ठेगाना देखाउँछ; रिजोल्भरले नाम देखाउँछ।
रिजोल्भरले बाह्य सेवासम्म पुग्न कुन ठेगाना प्रयोग गर्यो जाँच्नुहोस्। जवाफ रिजोल्भरको निर्गमन ठेगाना हो, र VPN निर्गमनसँग तुलना गर्दा क्वेरी टनेलबाट गयो कि भन्ने थाहा हुन्छ:
dig +short myip.opendns.com @resolver1.opendns.com
dig example.com
sudo tcpdump -ni any udp port 53त्यो ठेगाना टनेल निर्गमनसँग नभई स्थानीय जडानसँग मिल्छ भने खोजीले VPN छल्यो र नाम स्थानीय मार्गमा देखिन्थ्यो। क्लाइन्ट अद्यावधिक भएपछि जाँच दोहोर्याउनुहोस्, किनभने नयाँ संस्करणले प्रोफाइलले स्थापना गर्ने रिजोल्भर बदल्न सक्छ।
इन्क्रिप्ट गरिएको DNS ले दृश्यता हटाउनुको सट्टा सार्छ। सञ्जालले अब क्वेरी देख्दैन, तर रिजोल्भरले अझै देख्छ, र विश्वासको प्रश्नले मात्र हात बदल्छ। जडानको ह्यान्डशेकमा TLS सर्भर नाम अर्को आंशिक सङ्केत हो: पेलोड अपारदर्शी हुँदा पनि यो प्रायः बाँच्छ, त्यसैले गन्तव्य ठेगाना मात्र फर्वार्डिङ सर्भरले अवलोकन गर्न सक्ने मेटाडेटा होइनन्।
तीन प्रकारका अभिलेख र ती कसले पढ्न सक्छ
सत्र लेखा, नामअनुसार अभिलेख र चुहावट प्रमाण तीन फरक दायित्व भएका तीन फरक उत्पादन हुन्। सत्र लग सस्तो र कम संवेदनशील हुन्छन्, र कसले कहिले जोडियो भन्ने जवाफ दिन्छन्। नामअनुसार अभिलेखका लागि रेकर्ड गर्ने रिजोल्भर वा स्पष्ट प्रोक्सी चाहिन्छ, र तिनले प्रभावित मानिसहरूप्रति खुलासाको दायित्व सिर्जना गर्छन्। चुहावट प्रमाण भनेको रिजोल्भरले खोल्ने कुरालाई टनेल निर्गमनसँग तुलना गर्ने क्लाइन्ट-पक्षीय परीक्षण हो।
यी तीनमध्ये तपाईं कुन चलाउनुहुन्छ, कसले पढ्न सक्छ र कति समय रहन्छ लेख्नुहोस्। सेवाले कुनै लग राख्दैन भन्ने भनाइले एउटा तह वर्णन गर्छ, र त्यो दायराभित्र मात्र सत्य रहन्छ। एउटै प्रदायक सत्रबारे सही र DNS बारे गलत हुन सक्छ।
जाँच पुनरुत्पादनयोग्य राख्नुहोस्: उही रिजोल्भर क्वेरी, उही क्याप्चर इन्टरफेस र उही तुलना। नाम दिइएको तहमा जाँच्न नसकिने गोपनीयता दाबी नारा हो, सञ्चालन तथ्य होइन।