Doorgestuurde VPN-poort: wat bezoekers en de provider kunnen zien

Een poort doorsturen geeft vreemden een route naar een dienst via het openbare adres van de provider. Die ene wijziging beïnvloedt tegelijk de blootstelling en de herkenbaarheid, en geen van beide publiceert de naam van wie de dienst beheert. De twee gescheiden houden vermijdt de tegengestelde fouten om 'doorsturen' als anonimiteit te behandelen en om het als identificatie te behandelen. Drie vragen scheiden ze netjes, en de antwoorden komen uit verschillende bewijzen.

Drie objecten, drie verschillende vragen

Houd het openbare adres gescheiden van de applicatie die erachter antwoordt, en houd beide gescheiden van de persoon of organisatie die het ding beheert. Elk heeft zijn eigen publiek en zijn eigen bewijs. Ze vermengen levert conclusies op die netjes klinken en onjuist zijn.

Loop ze in die volgorde door. De eerste is een vraag naar bereikbaarheid, de tweede een vraag naar applicatie-identiteit, en de derde een vraag naar toeschrijving waarover de eerste twee slechts gedeeltelijk uitsluitsel geven. Als iemand vraagt of poortdoorsturing privé is, vraag dan welke van de drie hij bedoelt. De antwoorden verschillen echt, en een beleidspagina behandelt meestal maar één ervan.

Wat een bezoeker tussen eindpunten kan koppelen

Een bezoeker verbindt met het eindpunt en ziet wat de applicatie legitiem presenteert: 'een hostnaam', een certificaatnaam, een inlogpagina, gepubliceerde inhoud. Die details identificeren de dienst zelfs wanneer het gebruikelijke toegangsadres achter de tunnel verborgen is. Twee eindpunten die dezelfde genoemde site presenteren geven waarnemers een basis om ze te koppelen. Niets in dat gedrag is een lek, omdat de applicatie is ontworpen om gezien te worden.

Overeenkomende certificaten, omleidingen en pagina-inhoud tussen twee eindpunten is een sterk signaal dat ze bij één dienst horen. Het blijft een uitspraak over de dienst, niet over een mens, tot een ander record de twee verbindt.

De IETF-richtlijnen voor privacy beschrijven hoe blijvende identificatoren het mogelijk maken interacties in de tijd te correleren. Correlatie is geen toeschrijving, omdat meerdere mensen één dienst kunnen beheren en een adres kan verschuiven tussen niet-verwante abonnees. Dat onderscheid is wat voorkomt dat een correlatiebevinding een beschuldiging wordt.

Wat de doorstuurprovider moet weten

Om een inkomende verbinding te leveren, moet het systeem van de provider de actieve relatie tussen het openbare toegangspunt en de interne bestemming vasthouden. Dat operationele feit verschilt van wat een bezoeker ziet, en verschilt weer van wat de provider besluit te bewaren. Houd de twee vragen gescheiden wanneer u een beleidspagina leest, want de ene is onvermijdelijk en de andere is een beslissing. Een uitspraak dat er geen browsegeschiedenis wordt bewaard zegt niets over de mappinggeschiedenis.

Of historische mappings, accountkoppelingen of verbindingsregistraties blijven bestaan, is een vraag voor het werkelijke beleid en de implementatie van de provider. Doorsturen bewijst niet dat elke categorie wordt gelogd. Vraag specifiek welke velden overleven nadat de mapping is ingetrokken, en hoe lang.

Inkomende bereikbaarheid staat ook los van de uitgaande routering van de client, DNS en faalgedrag. Een mapping toevoegen beschrijft niet hoe de rest van het verkeer van de client naar buiten gaat.

Hoe lang de mapping duurt, verandert de blootstelling

Een mapping kan voortduren voor een sessie, voor een reservering of onder een providerbeleid dat deze wijzigt. Noch permanente toewijzing noch constante rotatie mag worden aangenomen; lees het gedocumenteerde gedrag van het product en noteer wat u waarneemt. Twee waarnemingen met een week ertussen zeggen meer over 'rotatie' dan welke marketingzin dan ook op de productpagina. Noteer het waargenomen interval naast het eindpunt in uw notities, want het interval is deel van de blootstelling.

De levensduur verandert welke correlatie mogelijk is. Een stabiel eindpunt nodigt uit tot langdurige tracking van één dienst, terwijl een roterend eindpunt elke waarneming moeilijker te verbinden maakt met de vorige. Geen van beide eigenschappen is een garantie over de registraties van de provider, en geen ervan vervangt de beslissing over wat de dienst zelf publiceert.

Publiceer bewust en sluit dan beide deuren

Bevestig dat de provider het protocol toestaat dat u nodig hebt, dat de doelluisteraar degene is die u bedoelde, en dat host- en applicatiecontroles de toegang nog steeds beperken. Kijk vóór publicatie wat de dienst aan een vreemde zal presenteren. Deze twee opdrachten tonen het certificaat en de headers die een bezoeker ontvangt.

openssl s_client -connect pub.example.net:443 -brief < /dev/null
curl -sSI https://pub.example.net/

Iets publiceren rechtvaardigt niet dat de beheerpagina's worden blootgesteld of dat de login van de applicatie vervalt, en vertaling levert geen TLS aan een dienst die het nooit heeft gehad. Houd het versleutelde protocol en de serveridentiteitscontroles op hun plaats, ongeacht hoe het verkeer aankomt. Controleer daarna de responsheaders, want een 'banner' of foutopsporingspagina kan een vreemde meer vertellen dan de dienst bedoelt. Wat de twee opdrachten teruggeven is dezelfde weergave die een waarnemer krijgt.

De dienst buiten gebruik stellen betekent twee sluitingen, niet één: trek de mapping in via de eigenaar en behandel daarna de luisteraar en het recht als afzonderlijke posten. Een gebladwijzerd eindpunt dat stopt met antwoorden trekt geen referentie in en haalt al geleverde informatie niet terug.